Vereinbarung zur Verarbeitung von Nutzerdaten

Die Vereinbarung zur Verarbeitung von Nutzerdaten („Vereinbarung“) wird zwischen dem Informationsteilnehmer („Teilnehmer“) und WORKPLACED Technologies Ltd („Unternehmen“) geschlossen – einer Kapitalgesellschaft mit beschränkter Haftung, gegründet in den Dubai International Financial Markets unter der Lizenznummer CL9112, die umfassende, datengestützte SaaS-Lösungen für den Arbeitsplatz entwickelt hat und professionelle Dienstleistungen wie Beratung und Projektmanagement anbietet.

Durch den Zugriff auf die WORKPLACED-Software („Software“) oder deren Nutzung erklärt sich der Teilnehmer mit dieser Vereinbarung einverstanden.

Für (i) Teilnehmer von Kunden, die sich in der Europäischen Union oder im Europäischen Wirtschaftsraum befinden, oder (ii) Teilnehmer, die unabhängig von einem Kunden die Software abonnieren und sich in der Europäischen Union oder im Europäischen Wirtschaftsraum befinden, ist die vertragschließende Einheit (d. h. die Vertragspartei des Teilnehmers) WORKPLACED Technologies Europe BV – eine Gesellschaft mit beschränkter Haftung nach niederländischem Recht mit der Registernummer 95622462 und Sitz in Smienteneiland 8, Meerstad, 9613 BG Groningen, Niederlande – anstelle von WORKPLACED Technologies Ltd.

Verweise auf das „Unternehmen“ in dieser Vereinbarung sind entsprechend auszulegen (d. h. ein Verweis auf WORKPLACED Technologies Europe BV anstelle von WORKPLACED Technologies Ltd). Alle Datenverarbeitungstätigkeiten für den Teilnehmer unterliegen den Datenschutzgesetzen.

WORKPLACED Technologies Ltd ist die Muttergesellschaft von WORKPLACED Technologies Europe BV. Wenn WORKPLACED Technologies Europe BV die Vertragspartei dieser Vereinbarung ist, wird anerkannt, dass WORKPLACED Technologies Europe BV für die Bereitstellung der Software und der damit verbundenen Dienste im Rahmen einer Lizenzvereinbarung mit ihrer Muttergesellschaft WORKPLACED Technologies Ltd tätig ist.

Bestimmte Dienste im Rahmen dieser Vereinbarung können von WORKPLACED Technologies Europe BV an WORKPLACED Technologies Ltd oder andere Drittanbieter untervergeben werden; WORKPLACED Technologies Europe BV bleibt jedoch gegenüber dem Teilnehmer und/oder dem Kunden, je nach Fall, für die Erfüllung aller Pflichten aus dieser Vereinbarung, einschließlich der Einhaltung der anwendbaren Datenschutzgesetze, vollständig verantwortlich. Eine Untervergabe entbindet WORKPLACED Technologies Europe BV nicht von ihrer Haftung für die ordnungsgemäße Erfüllung der Vereinbarung.

Das Unternehmen erhebt und verarbeitet personenbezogene Daten zu Informationszwecken, einschließlich Beurteilungen, Umfragen und verschiedener anderer Tätigkeiten der Informationsgewinnung. Die erhobenen Daten können den europäischen Datenschutzgesetzen und anderen anwendbaren Datenschutzgesetzen unterliegen.

„Datenschutzgesetze“ bezeichnet alle anwendbaren weltweiten Rechtsvorschriften zum Datenschutz und zur Privatsphäre, die für die jeweilige Partei in ihrer Rolle bei der Verarbeitung der betreffenden personenbezogenen Daten im Rahmen der Vereinbarung gelten, einschließlich, ohne Einschränkung, der europäischen Datenschutzgesetze, jeweils in der von Zeit zu Zeit geänderten, aufgehobenen, konsolidierten oder ersetzten Fassung.

„Europäische Datenschutzgesetze“ bezeichnet die in Europa geltenden Datenschutzgesetze, einschließlich: (i) der Verordnung 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) („DSGVO“); (ii) der Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation; und (iii) der anwendbaren nationalen Umsetzungen von (i) und (ii); oder (iii) der DSGVO, soweit sie kraft Section 3 des European Union (Withdrawal) Act 2018 Teil des innerstaatlichen Rechts des Vereinigten Königreichs ist („UK GDPR“); und (iv) des Schweizer Bundesgesetzes über den Datenschutz und seiner Verordnung („Swiss DPA“); jeweils in der geänderten, ersetzten oder abgelösten Fassung.

„Personenbezogene Daten“ bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wenn (i) diese Informationen in Teilnehmerdaten enthalten sind; und (ii) sie nach den anwendbaren Datenschutzgesetzen in ähnlicher Weise wie personenbezogene Daten, persönliche Informationen oder personenidentifizierende Informationen geschützt sind.

„Verletzung des Schutzes personenbezogener Daten“ bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt, die von uns und/oder unseren Unterauftragsverarbeitern im Zusammenhang mit der Erbringung der Abonnementdienste übermittelt, gespeichert oder anderweitig verarbeitet werden. „Verletzung des Schutzes personenbezogener Daten“ umfasst keine erfolglosen Versuche oder Aktivitäten, die die Sicherheit personenbezogener Daten nicht gefährden, einschließlich erfolgloser Anmeldeversuche, Pings, Port-Scans, Denial-of-Service-Angriffe und anderer Netzwerkangriffe auf Firewalls oder vernetzte Systeme.

„Verarbeitung“ bezeichnet jeden Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, einschließlich des Erhebens, des Erfassens, der Organisation, des Ordnens, der Speicherung, der Anpassung oder Veränderung, des Auslesens, des Abfragens, der Verwendung, der Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, des Abgleichs oder der Verknüpfung, der Einschränkung oder des Löschens personenbezogener Daten. Die Begriffe „verarbeiten“, „verarbeitet“ und „Verarbeitete“ sind entsprechend auszulegen.

„Unterauftragsverarbeiter“ bezeichnet jeden Auftragsverarbeiter, der vom Unternehmen oder seinen verbundenen Unternehmen beauftragt wird, bei der Erfüllung der Pflichten des Unternehmens im Zusammenhang mit der Erbringung der Dienste zu unterstützen. Unterauftragsverarbeiter können Dritte oder verbundene Unternehmen des Unternehmens sein, umfassen jedoch keinen Mitarbeiter oder Berater des Unternehmens.

2.1. Einhaltung der Gesetze. Im Rahmen der Vereinbarung und bei der Nutzung der Dienste ist der Teilnehmer dafür verantwortlich, alle Anforderungen einzuhalten, die nach den anwendbaren Datenschutzgesetzen in Bezug auf seine Verarbeitung personenbezogener Daten und die Weisungen, die er dem Unternehmen erteilt, für ihn gelten. Insbesondere, jedoch ohne Beeinträchtigung der Allgemeingültigkeit des Vorstehenden, erkennt der Teilnehmer an und stimmt zu, dass er allein verantwortlich ist für: (i) die Richtigkeit, Qualität und Rechtmäßigkeit seiner Daten und die Mittel, mit denen er die personenbezogenen Daten erlangt hat; (ii) die Einhaltung aller erforderlichen Transparenz- und Rechtmäßigkeitsanforderungen nach den anwendbaren Datenschutzgesetzen für die Erhebung und Nutzung der personenbezogenen Daten, einschließlich der Einholung aller erforderlichen Einwilligungen und Genehmigungen; (iii) die Sicherstellung, dass er berechtigt ist, die personenbezogenen Daten dem Unternehmen zur Verarbeitung gemäß den Bedingungen der Vereinbarung zu übermitteln oder Zugang dazu zu gewähren; (iv) die Sicherstellung, dass seine Weisungen an das Unternehmen bezüglich der Verarbeitung personenbezogener Daten den anwendbaren Gesetzen, einschließlich der Datenschutzgesetze, entsprechen; und (v) die Einhaltung aller Gesetze (einschließlich der Datenschutzgesetze), die für E-Mails oder andere Inhalte gelten, die über die Dienste erstellt, versendet oder verwaltet werden, einschließlich derjenigen, die sich auf die Einholung von Einwilligungen (soweit erforderlich) zum Versand von E-Mails, den Inhalt der E-Mails und seine E-Mail-Versandpraktiken beziehen. Der Teilnehmer informiert das Unternehmen unverzüglich, wenn er seine Pflichten nach diesem Abschnitt „Einhaltung der Gesetze“ oder den anwendbaren Datenschutzgesetzen nicht erfüllen kann.

2.2. Weisungen des Teilnehmers. Die Parteien vereinbaren, dass die Vereinbarung zusammen mit der Nutzung der Dienste des Unternehmens durch den Teilnehmer dessen vollständige Weisungen an das Unternehmen in Bezug auf die Verarbeitung personenbezogener Daten darstellt, wobei er während der Laufzeit der Vereinbarung zusätzliche Weisungen erteilen kann, die mit der Vereinbarung, der Art und der rechtmäßigen Nutzung der Dienste des Unternehmens im Einklang stehen.

2.3. Sicherheit. Der Teilnehmer ist dafür verantwortlich, eigenständig festzustellen, ob die in den Diensten des Unternehmens vorgesehene Datensicherheit seine Pflichten nach den anwendbaren Datenschutzgesetzen angemessen erfüllt. Der Teilnehmer ist außerdem für seine sichere Nutzung des Dienstes des Unternehmens verantwortlich, einschließlich des Schutzes der Sicherheit personenbezogener Daten bei der Übertragung zu und von den Diensten (einschließlich der sicheren Sicherung oder Verschlüsselung solcher personenbezogenen Daten).

Das Unternehmen verarbeitet vom Teilnehmer bereitgestellte personenbezogene Daten zur Informationsgewinnung und zur Bereitstellung analytischer Erkenntnisse. Die erhobenen Daten werden ausschließlich für diesen Zweck und für die Erbringung der Dienste des Unternehmens gegenüber dem Teilnehmer verwendet.

Durch die freiwillige Bereitstellung personenbezogener Daten und die Zustimmung zu dieser Vereinbarung willigt der Teilnehmer in die Erhebung und Verarbeitung seiner personenbezogenen Daten für den angegebenen Zweck ein. Der Teilnehmer hat das Recht, die Einwilligung jederzeit durch Kontaktaufnahme mit dem Unternehmen zu widerrufen.

5.1. Einhaltung der Weisungen. Das Unternehmen verarbeitet personenbezogene Daten nur für die in dieser Vereinbarung beschriebenen Zwecke, für die Erbringung seiner Dienste gegenüber dem Teilnehmer oder wie anderweitig im Rahmen Ihrer rechtmäßigen Weisungen vereinbart, es sei denn, das anwendbare Recht verlangt etwas anderes, und nur in diesem Umfang. Das Unternehmen ist nicht für die Einhaltung von Datenschutzgesetzen verantwortlich, die für den Teilnehmer oder seine Branche gelten und nicht allgemein für das Unternehmen gelten.

5.2. Gesetzeskollision. Wenn das Unternehmen erkennt, dass es personenbezogene Daten aufgrund einer gesetzlichen Anforderung nach anwendbarem Recht nicht gemäß den Weisungen des Teilnehmers verarbeiten kann, wird das Unternehmen (i) den Teilnehmer unverzüglich über diese gesetzliche Anforderung informieren, soweit das anwendbare Recht dies zulässt; und (ii) erforderlichenfalls jede Verarbeitung einstellen (außer der bloßen Speicherung und Aufrechterhaltung der Sicherheit der betroffenen personenbezogenen Daten), bis der Teilnehmer neue Weisungen erteilt, denen wir, das Unternehmen, nachkommen können. Wird diese Bestimmung in Anspruch genommen, haften wir Ihnen gegenüber im Rahmen der Vereinbarung nicht für die Nichterbringung der betreffenden Abonnementdienste, bis Sie neue rechtmäßige Weisungen in Bezug auf die Verarbeitung erteilen.

5.3. Sicherheit. Das Unternehmen implementiert und unterhält geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten vor Verletzungen des Schutzes personenbezogener Daten („Sicherheitsmaßnahmen“). Ungeachtet anderslautender Bestimmungen kann das Unternehmen die Sicherheitsmaßnahmen nach eigenem Ermessen ändern oder aktualisieren, sofern eine solche Änderung oder Aktualisierung nicht zu einer wesentlichen Verschlechterung des durch die Sicherheitsmaßnahmen gebotenen Schutzes führt.

5.4. Vertraulichkeit. Das Unternehmen stellt sicher, dass alle Mitarbeiter, die es zur Verarbeitung personenbezogener Daten in seinem Namen ermächtigt, in Bezug auf diese personenbezogenen Daten angemessenen Vertraulichkeitspflichten (sei es eine vertragliche oder gesetzliche Pflicht) unterliegen.

5.5. Verletzungen des Schutzes personenbezogener Daten. Das Unternehmen benachrichtigt den Teilnehmer unverzüglich, nachdem es von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, und stellt zeitnah Informationen zur Verletzung des Schutzes personenbezogener Daten bereit, sobald diese bekannt werden oder vom Unternehmen angemessen angefordert werden. Auf Verlangen des Teilnehmers leistet das Unternehmen dem Teilnehmer umgehend die angemessene Unterstützung, die erforderlich ist, damit er relevante Verletzungen des Schutzes personenbezogener Daten den zuständigen Behörden und/oder den betroffenen Personen (der natürlichen Person, auf die sich die personenbezogenen Daten beziehen) melden kann, sofern er nach den Datenschutzgesetzen dazu verpflichtet ist.

5.6. Löschung oder Rückgabe personenbezogener Daten. Das Unternehmen löscht oder gibt alle Daten, einschließlich personenbezogener Daten (einschließlich Kopien davon), die gemäß dieser Vereinbarung verarbeitet wurden, bei Beendigung oder Ablauf seiner Dienste mit dem Unternehmen gemäß den in den anwendbaren Bedingungen festgelegten Verfahren zurück. Diese Bestimmung gilt, es sei denn, das Unternehmen ist nach anwendbarem Recht verpflichtet, einige oder alle Daten aufzubewahren, oder das Unternehmen hat die Daten auf Sicherungssystemen archiviert; diese Daten werden wir sicher isolieren und vor jeder weiteren Verarbeitung schützen und gemäß unseren Löschpraktiken löschen.

5.7. Datenerhebung. Das Unternehmen erhebt und verarbeitet nur die personenbezogenen Daten, die für die Tätigkeiten der Informationsgewinnung und die Analysen relevant und notwendig sind. Die Daten können unter anderem Name, E-Mail-Adresse, demografische Informationen und alle weiteren bereitgestellten Informationen umfassen.

Der Teilnehmer hat das Recht auf Auskunft über, Berichtigung oder Löschung seiner vom Unternehmen gespeicherten personenbezogenen Daten. Um diese Rechte auszuüben oder weitere Informationen anzufordern, wenden Sie sich bitte an das Unternehmen unter support@workplaced.com.

Der Teilnehmer stimmt zu, dass das Unternehmen Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten im Namen des Teilnehmers beauftragen kann, und das Unternehmen tut dies auf drei Arten. Erstens kann es Unterauftragsverarbeiter beauftragen, das Unternehmen bei Hosting und Infrastruktur zu unterstützen. Zweitens kann es Unterauftragsverarbeiter zur Unterstützung von Produkt- und Dienstfunktionen sowie Integrationen beauftragen. Drittens kann es seine verbundenen Unternehmen als Unterauftragsverarbeiter für Service und Support beauftragen.

Wenn das Unternehmen Unterauftragsverarbeiter beauftragt, erlegt es den Unterauftragsverarbeitern Datenschutzbedingungen auf, die mindestens dasselbe Schutzniveau für personenbezogene Daten bieten wie diejenigen in dieser Vereinbarung, soweit sie auf die Art der von solchen Unterauftragsverarbeitern erbrachten Dienste anwendbar sind. Es bleibt für die Einhaltung der Pflichten aus dieser Vereinbarung durch jeden Unterauftragsverarbeiter und für jedes Handeln oder Unterlassen eines solchen Unterauftragsverarbeiters verantwortlich, das dazu führt, dass das Unternehmen eine seiner Pflichten aus dieser Vereinbarung verletzt.

Der Teilnehmer erkennt an und stimmt zu, dass das Unternehmen weltweit auf personenbezogene Daten zugreifen und diese verarbeiten kann, soweit dies zur Erbringung seiner Dienste erforderlich ist, und insbesondere, dass personenbezogene Daten in die Vereinigten Arabischen Emirate und in andere Rechtsordnungen, in denen seine verbundenen Unternehmen und Unterauftragsverarbeiter tätig sind, übermittelt und dort vom Unternehmen verarbeitet werden können. Wann immer personenbezogene Daten außerhalb ihres Herkunftslandes übermittelt werden, stellt jede Partei sicher, dass solche Übermittlungen in Übereinstimmung mit den Anforderungen der Datenschutzgesetze erfolgen.

Das Unternehmen hält alle anwendbaren Datenschutzgesetze im Zusammenhang mit seiner Verarbeitung personenbezogener Daten im Rahmen dieser Vereinbarung ein, einschließlich der DSGVO und des DIFC Data Protection Law (DIFC Law No. 5 of 2020). Die Parteien erkennen an, dass Übermittlungen personenbezogener Daten aus dem EWR vom verbundenen Unternehmen des Unternehmens in den Niederlanden an das Unternehmen beschränkte Übermittlungen im Sinne von Kapitel V der DSGVO darstellen, und verpflichten sich, das anwendbare Modul der Standardvertragsklauseln gemäß dem Durchführungsbeschluss (EU) 2021/914 der Kommission („EU-SCC“) abzuschließen und daran gebunden zu sein; diese werden hiermit durch Verweis einbezogen und haben in Bezug auf solche Übermittlungen Vorrang vor jeder widersprechenden Bestimmung dieser Vereinbarung. Vor jeder solchen Übermittlung führt das Unternehmen eine Folgenabschätzung der Übermittlung durch und setzt die ergänzenden technischen und organisatorischen Maßnahmen um, die erforderlich sind, um ein angemessenes Schutzniveau für betroffene Personen zu gewährleisten. Das Unternehmen verarbeitet personenbezogene Daten aus dem EWR, die es von seinem verbundenen Unternehmen in den Niederlanden erhält, ausschließlich für die in dieser Vereinbarung vorgesehenen Zwecke, unterhält angemessene Sicherheitsmaßnahmen gemäß Artikel 32 DSGVO, benachrichtigt dieses verbundene Unternehmen innerhalb von achtundvierzig (48) Stunden über jede Verletzung des Schutzes personenbezogener Daten, die solche Daten betrifft, und leitet solche Daten nicht ohne gleichwertige vertragliche Garantien weiter. Das verbundene Unternehmen des Unternehmens in den Niederlanden aktualisiert seine EULA und seine Transparenzdokumentation zur Datenverarbeitung, um die Übermittlung an das Unternehmen, den anwendbaren Übermittlungsmechanismus und die Identität jeder Partei in ihrer jeweiligen datenschutzrechtlichen Rolle offenzulegen, bevor eine Übermittlung stattfindet.

Der Teilnehmer bestätigt, dass er diese Vereinbarung gelesen und verstanden hat, und willigt in die Verarbeitung seiner personenbezogenen Daten für die angegebenen Zwecke der Informationsgewinnung ein.

Das Unternehmen kann diese Vereinbarung bei Bedarf aktualisieren, um die Einhaltung der DSGVO zu gewährleisten.

Durch die Bereitstellung personenbezogener Daten und die Zustimmung zu dieser Vereinbarung bestätigt der Teilnehmer, dass er die Verarbeitung seiner personenbezogenen Daten durch WORKPLACED in Übereinstimmung mit der DSGVO und anderen anwendbaren Datenschutzgesetzen versteht und darin einwilligt.