Auftragsverarbeitungsvertrag (DPA)

1. Begriffsbestimmungen

• „Personenbezogene Daten des Kunden“ bezeichnet personenbezogene Daten, die Nebs-Creative im Auftrag des Kunden aufgrund der Vereinbarung verarbeitet.
• „Datenschutzgesetze“ bezeichnet die UK GDPR, den Data Protection Act 2018 und, soweit auf die Verarbeitung anwendbar, die EU-DSGVO, anwendbare Datenschutzgesetze der US-Bundesstaaten sowie sonstige anwendbare Datenschutzgesetze in der jeweils geänderten oder ersetzten Fassung.
• „EU-Standardvertragsklauseln“ (EU SCCs) bezeichnet die von der Europäischen Kommission durch den Durchführungsbeschluss (EU) 2021/914 genehmigten Standardvertragsklauseln.
• „Beschränkte Übermittlung“ bezeichnet eine Übermittlung, die nach den anwendbaren Datenschutzgesetzen ohne eine angemessene Garantie untersagt wäre.
• „Unterauftragsverarbeiter“ bezeichnet einen Dritten oder ein verbundenes Unternehmen, das von Nebs-Creative mit der Verarbeitung von Personenbezogenen Daten des Auftraggebers beauftragt wird.
• „Übermittlungsmechanismus“ bezeichnet das UK International Data Transfer Agreement, den UK Addendum zu den EU-Standardvertragsklauseln, die EU-Standardvertragsklauseln (EU SCCs) oder einen anderen nach den anwendbaren Datenschutzgesetzen anerkannten Mechanismus.
• „Arbeitstag“ bezeichnet Sonntag bis Donnerstag, ausgenommen gesetzliche Feiertage in Bangladesch und jede mitgeteilte Schließung des Studios.

Verantwortlicher, Auftragsverarbeiter, betroffene Person, personenbezogene Daten, Verletzung des Schutzes personenbezogener Daten, Verarbeitung und Aufsichtsbehörde haben die Bedeutung, die ihnen die UK GDPR oder die entsprechenden anwendbaren Rechtsbegriffe zuweisen.

2. Rollen und Geltungsbereich

Der Auftraggeber ist Verantwortlicher und Nebs-Creative ist Auftragsverarbeiter in Bezug auf die Personenbezogenen Daten des Auftraggebers. Ist der Auftraggeber selbst Auftragsverarbeiter für einen anderen Verantwortlichen, handelt Nebs-Creative als Unterauftragsverarbeiter, und der Auftraggeber bestätigt, dass er befugt ist, die in diesem DPA enthaltenen Weisungen zu erteilen. Anhang 1 beschreibt die Verarbeitung. Jede Partei bleibt eigenständiger Verantwortlicher für gewöhnliche geschäftliche Kontaktdaten, die sie zur Verwaltung der Geschäftsbeziehung verarbeitet.

3. Pflichten des Auftraggebers

• Sicherzustellen, dass eine Rechtsgrundlage besteht und die erforderlichen Hinweise bzw. Einwilligungen für die Verarbeitung erteilt wurden.
• Nur personenbezogene Daten bereitzustellen, die für die Leistungen vernünftigerweise erforderlich sind, und wo möglich Beispieldaten, anonymisierte oder pseudonymisierte Daten zu verwenden.
• Nebs-Creative vor der Bereitstellung von Daten besonderer Kategorien, Daten über Straftaten oder Daten von Kindern schriftlich zu informieren.
• Sicherzustellen, dass die an Nebs-Creative erteilten Weisungen den anwendbaren Datenschutzgesetzen entsprechen.

4. Pflichten von Nebs-Creative

• Personenbezogene Daten des Auftraggebers nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten, einschließlich Weisungen zu internationalen Übermittlungen, es sei denn, das Recht schreibt etwas anderes vor.
• Den Auftraggeber zu informieren, wenn eine Weisung nach Auffassung von Nebs-Creative gegen die anwendbaren Datenschutzgesetze verstößt, soweit dies rechtlich zulässig ist.
• Sicherzustellen, dass befugte Mitarbeiter zur Vertraulichkeit verpflichtet sind.
• Geeignete technische und organisatorische Maßnahmen aufrechtzuerhalten, einschließlich der in Anhang 2 beschriebenen Maßnahmen, sobald diese verifiziert sind.
• Angemessene Unterstützung bei den Rechten betroffener Personen, bei Sicherheitspflichten, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen (DPIAs) und der Konsultation von Aufsichtsbehörden zu leisten, unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen.
• Angemessene Informationen zum Nachweis der Einhaltung bereitzustellen und Prüfungen gemäß Klausel 9 zuzulassen.
• Personenbezogene Daten des Auftraggebers nicht zu verkaufen und nicht für eigene Zwecke von Nebs-Creative zu verwenden, einschließlich des Trainings von KI-Modellen von Nebs-Creative.

5. Unterauftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern. Die derzeitigen Unterauftragsverarbeiter sind in Anhang 3 aufzuführen. Nebs-Creative wird mindestens 14 Tage im Voraus über eine beabsichtigte Hinzufügung oder Ersetzung informieren. Der Auftraggeber kann aus angemessenen datenschutzrechtlichen Gründen widersprechen. Kann dem Widerspruch nach vernünftigem Ermessen nicht abgeholfen werden, kann der Auftraggeber die betroffenen Leistungen kündigen und erhält eine Erstattung vorausbezahlter Entgelte für nicht erbrachte Leistungen. Nebs-Creative wird jedem Unterauftragsverarbeiter im Wesentlichen gleichwertige Datenschutzpflichten auferlegen und bleibt gegenüber dem Auftraggeber nach Maßgabe des anwendbaren Rechts und der Vereinbarung für die Erfüllung dieser Pflichten durch den Unterauftragsverarbeiter verantwortlich.

6. Internationale Übermittlungen

Der Auftraggeber erkennt an, dass das Team von Nebs-Creative von Bangladesch aus arbeitet und dass genehmigte Unterauftragsverarbeiter Personenbezogene Daten des Auftraggebers an den in Anhang 3 genannten Standorten verarbeiten können. Jede Beschränkte Übermittlung muss durch einen gültigen Übermittlungsmechanismus oder eine andere rechtmäßige Grundlage und, soweit erforderlich, durch eine angemessene Risikobewertung der Übermittlung oder eine gleichwertige Bewertung abgesichert sein.

Bei Beschränkten Übermittlungen aus dem Vereinigten Königreich durch Nebs-Creative an einen Empfänger wie die Studio-Gesellschaft in Bangladesch oder einen Unterauftragsverarbeiter wird Nebs-Creative das anwendbare UK International Data Transfer Agreement, den UK Addendum mit dem einschlägigen Modul der EU-Standardvertragsklauseln oder einen anderen gültigen Mechanismus verwenden. Bei Übermittlungen aus dem EWR, für die die EU-Standardvertragsklauseln erforderlich sind, findet je nach Sachlage das einschlägige Modul für die Übermittlung von Verantwortlichen an Auftragsverarbeiter oder von Auftragsverarbeitern an Auftragsverarbeiter Anwendung. Widersprechen zwingende Übermittlungsbedingungen diesem DPA, gehen die zwingenden Übermittlungsbedingungen vor.

7. Verletzungen des Schutzes personenbezogener Daten

Nebs-Creative wird den Kunden unverzüglich und, nach dem derzeitigen Standard-AVV, in jedem Fall innerhalb von 48 Stunden benachrichtigen, nachdem Nebs-Creative von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die Personenbezogene Daten des Kunden betrifft. Die Benachrichtigung enthält die verfügbaren Informationen zu Art, Umfang, wahrscheinlichen Folgen und Abhilfemaßnahmen; weitere Informationen werden nachgereicht, sobald sie verfügbar sind. Nebs-Creative wird angemessene Maßnahmen ergreifen, um den Vorfall einzudämmen und zu beheben, und mit dem Kunden zusammenarbeiten. Sofern das Gesetz nichts anderes vorschreibt, wird Nebs-Creative ohne Weisung des Kunden weder eine Aufsichtsbehörde noch betroffene Personen im Namen des Kunden benachrichtigen.

8. Anfragen betroffener Personen

Erhält Nebs-Creative eine Anfrage, die sich auf Personenbezogene Daten des Kunden bezieht, wird Nebs-Creative die Anfrage innerhalb von 5 Werktagen an den Kunden weiterleiten und nicht inhaltlich darauf antworten, es sei denn, der Kunde hat dies genehmigt oder das Gesetz verlangt es.

9. Audits und Compliance-Informationen

Nebs-Creative wird angemessene Compliance-Fragebögen in der Regel einmal jährlich beantworten und, soweit angemessen, nach einer einschlägigen Verletzung oder auf Anfrage einer Aufsichtsbehörde zusätzliche Informationen bereitstellen. Reichen angemessene schriftliche Informationen nicht aus, um die Einhaltung nachzuweisen, können der Kunde oder ein unabhängiger, nicht im Wettbewerb stehender und zur Vertraulichkeit verpflichteter Auditor ein Audit durchführen, und zwar unter den im maßgeblichen AVV festgelegten Beschränkungen hinsichtlich Ankündigungsfrist, Häufigkeit, Arbeitszeiten und Vermeidung von Betriebsstörungen. Jede Partei trägt ihre eigenen Auditkosten, sofern der Vertrag oder das anwendbare Recht nichts anderes vorschreibt.

10. Rückgabe und Löschung

Nach Beendigung der betreffenden Leistungen oder auf schriftliche Weisung auch früher wird Nebs-Creative nach Wahl des Kunden die Personenbezogenen Daten des Kunden innerhalb von 30 Tagen zurückgeben oder löschen und vorhandene Kopien löschen, es sei denn, das anwendbare Recht verlangt eine Aufbewahrung. Daten, die in routinemäßigen Backups verbleiben, sind durch diesen AVV geschützt, bis sie im normalen Backup-Zyklus überschrieben werden. Auf Anfrage wird eine schriftliche Bestätigung der Löschung erteilt.

11. Datenschutzbestimmungen der US-Bundesstaaten

Soweit ein anwendbares Datenschutzgesetz eines US-Bundesstaats Nebs-Creative in Bezug auf Personenbezogene Daten des Kunden als Dienstleister (service provider), Auftragnehmer (contractor) oder Auftragsverarbeiter (processor) einstuft, wird Nebs-Creative diese Daten nicht im Sinne des anwendbaren Rechts verkaufen oder weitergeben („share“), nicht außerhalb des zulässigen Dienstleistungsverhältnisses aufbewahren, verwenden oder offenlegen und nicht mit anderen personenbezogenen Daten zusammenführen, es sei denn, das Gesetz erlaubt dies. Nebs-Creative wird das für seine Rolle erforderliche Datenschutzniveau gewährleisten und den Kunden informieren, wenn es diese Pflichten nicht mehr erfüllen kann. Der Kunde kann die nach anwendbarem Recht erforderlichen angemessenen Schritte ergreifen, um eine unbefugte Verwendung zu beenden und zu beheben.

12. Haftung, Vorrang und anwendbares Recht

Die Haftung nach diesem AVV unterliegt, soweit die Datenschutzgesetze dies zulassen, den Haftungsbestimmungen des Vertrags. Der AVV gilt so lange, wie Nebs-Creative Personenbezogene Daten des Kunden verarbeitet, und geht in Fragen personenbezogener Daten widersprechenden Vertragsbestimmungen vor. Der Standard-AVV unterliegt dem Recht von England und Wales, es sei denn, zwingende Übermittlungsklauseln schreiben ein anderes anwendbares Recht oder einen anderen Gerichtsstand vor.

Anhang 1 – Einzelheiten der Verarbeitung

Anhang 2 – Technische und organisatorische Maßnahmen

• Mehrfaktor-Authentifizierung (MFA) für Konten, die für den Zugriff auf personenbezogene Daten des Kunden verwendet werden, sofern der Dienst dies unterstützt.
• Projektbezogene Zugriffskontrollen; Entzug der Zugriffsrechte bei Projektende; regelmäßige Überprüfung der Zugriffsrechte.
• Individuelle Benutzerkonten; gemeinsam genutzte Zugangsdaten werden in einem freigegebenen, verschlüsselten Passwortmanager aufbewahrt.
• Vollständige Festplattenverschlüsselung, Bildschirmsperre, unterstützte Betriebssysteme, automatische Sicherheitsupdates und Anti-Malware auf Geräten, die für Kundenarbeiten genutzt werden, gemäß den internen Richtlinien.
• Personenbezogene Daten des Kunden werden ausschließlich in freigegebenen Tools gespeichert; keine Wechselmedien oder Speicherung in privaten Konten, sofern nicht ausdrücklich genehmigt.
• Datenminimierung und, soweit möglich, Verwendung von Beispieldaten bzw. anonymisierten oder pseudonymisierten Daten.
• Weitergabe von Dateien/Links nur mit Zugriffsbeschränkung sowie Verschlüsselung bei der Übertragung; gegebenenfalls Verschlüsselung im Ruhezustand durch den Speicheranbieter.
• Keine personenbezogenen Daten des Kunden in KI-Tools, außer in einem freigegebenen Tool mit den erforderlichen Schutzmaßnahmen/Einstellungen und mit Einverständnis des Kunden.
• Vertraulichkeits-/Urheberrechtsvereinbarungen (IP) mit dem Team sowie Schulungen zu Sicherheit und Datenschutz.
• Unverzügliche interne Meldung von Vorfällen und Protokollierung von Vorfällen.
• Backup-/Wiederherstellungsfunktionen der Anbieter für genehmigte Cloud-Dienste.
• Rückgabe/Löschung personenbezogener Daten des Kunden gemäß den Aufbewahrungsregeln des AVV.

Anhang 3 - Unterauftragsverarbeiter

Unterschriftenblock (optional, sofern ein unterzeichneter AVV verlangt wird)