Couchbase Capella Cloud Kundendatenverarbeitung Addendum

Dieses Addendum zur Datenverarbeitung (dieses "DPA”) ist Teil des Capella Cloud Service-Abonnementvertrags oder einer anderen Vereinbarung zwischen dem Kunden und Couchbase, die die Nutzung des Cloud Service durch den Kunden regelt ("Vereinbarung"), zwischen Couchbase, Inc. ("Couchbase") und die Partei, die als die "Kunde" in der Vereinbarung ("Kunde") (jeweils ein "Party" und zusammen die "Parteien").

Diese DPA beschreibt die Verpflichtungen der Parteien hinsichtlich der Verarbeitung personenbezogener Daten in Verbindung mit der Nutzung des Cloud-Dienstes durch den Kunden. Im Falle eines Widerspruchs zwischen den Bedingungen des Vertrags und den Bedingungen dieser DPA haben die Bedingungen dieser DPA im Umfang des Widerspruchs Vorrang. Jeder großgeschriebene Begriff, der in dieser DPA nicht definiert ist, hat die Bedeutung, die ihm in der Vereinbarung gegeben wird.

Die Vertragsparteien kommen wie folgt überein:

1. Definitionen. Die folgenden in Großbuchstaben geschriebenen Begriffe haben, wenn sie in dieser DPA verwendet werden, die unten angegebene Bedeutung:

a. "Geltende Datenschutzgesetze”Der Begriff “Datenschutz” bezeichnet alle weltweiten Datenschutzgesetze, -vorschriften, -regeln, -verordnungen und sonstigen Erlasse, die auf die personenbezogenen Daten anwendbar sind, einschließlich (aber nicht beschränkt auf): (i) europäische Datenschutzgesetze und (ii) alle Gesetze und Verordnungen der Vereinigten Staaten, einschließlich des California Consumer Privacy Act von 2018 (California Civil Code §§ 1798.100 et seq ("CCPA"); in der jeweils geänderten, ergänzten oder ersetzten Fassung.

b. "KundendatenDer Begriff "personenbezogene Daten" bezeichnet alle personenbezogenen Daten, die von Couchbase im Auftrag des Kunden als Dienstleister oder Auftragsverarbeiter (je nach Fall) in Verbindung mit dem Cloud-Service verarbeitet werden, wie in Anhang A dieser DSGVO näher beschrieben.

c. "EEA"sind die Mitgliedstaaten der Europäischen Union sowie Island, Liechtenstein und Norwegen.

d. "Europäische Datenschutzgesetze” means: (i) Regulation 2016/679 of the European Parliament and of the Council on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation) (“GDPR"); (ii) Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation ("Datenschutzrichtlinie für elektronische Kommunikation (e-Privacy)"); (iii) alle anwendbaren nationalen Umsetzungen von (i) und (ii); (iv) das Schweizerische Bundesgesetz über den Datenschutz vom 19. Juni 1992 und seine Verordnung ("Schweizer EDA”); und (v) in Bezug auf das Vereinigte Königreich der Data Protection Act 2018 und alle anwendbaren nationalen Rechtsvorschriften, die die DSGVO, die Datenschutzrichtlinie für elektronische Kommunikation oder andere Gesetze in Bezug auf Daten und den Schutz der Privatsphäre als Folge des Austritts des Vereinigten Königreichs aus der Europäischen Union ersetzen oder in nationales Recht umsetzen; jeweils in der geänderten, ersetzten oder ersetzten Fassung.

e. "Muster-Klauseln”(i) die Standardvertragsklauseln für Auftragsverarbeiter, wie sie von der Europäischen Kommission gemäß dem Beschluss 2021/914 (die “Standardvertragsklauseln") genehmigt wurden: (i) die Standardvertragsklauseln für Auftragsverarbeiter, wie sie von der Europäischen Kommission gemäß ihrem Beschluss 2021/914 genehmigt wurden (die "2021 Standardvertragsklauseln”) und (ii) die Standardvertragsklauseln des Vereinigten Königreichs, jeweils alternativ als Standardvertragsklauseln bezeichnet, die durch Verweis in diese DPA aufgenommen werden und Teil dieser DPA sind.

f. "Persönliche Daten”sind alle Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen und als “ " geschützt sind“persönliche Daten“, “persönliche Daten” oder “persönlich identifizierbare Informationen” gemäß den geltenden Datenschutzgesetzen.

g. "Sicherheitsvorfall” means any breach of security that leads to the accidental or unlawful destruction, loss, alteration, unauthorized disclosure of or access to Customer Data transmitted, stored or otherwise processed by Couchbase and/or its Sub-processors in connection with the provision of the Cloud Service. The Parties acknowledge and agree that “Security Incident” shall not include unsuccessful attempts or activities that do not compromise the security of Customer Data, including unsuccessful log-in attempts, pings, port scans, denial of service attacks, and other network attacks on firewalls or networked systems.

h. "Sub-Prozessor” means any processor engaged by Couchbase or its Affiliates to assist in fulfilling its obligations with respect to providing the Cloud Service pursuant to the Agreement or this DPA. Sub-processors may include third parties or Couchbase Affiliates but shall exclude any Couchbase employee, contractor or consultant.

i. “UK Standardvertragsklauseln” means (i) standard contractual clauses for data controller to data processor transfers approved by the European Commission in  decision 2010/87/EU (“UK Controller an Verarbeiter SCCs”); und (ii) Standardvertragsklauseln für die Übermittlung von Daten zwischen für die Verarbeitung Verantwortlichen, die von der Europäischen Kommission in der Entscheidung 2004/915/EG (“UK Controller zu Controller SCCs").

j. Die Begriffe “Controller", "Prozessor" und "Verarbeitung"haben die Bedeutung, die ihnen in der Datenschutz-Grundverordnung zugewiesen wird, und "Prozess", "Prozesse" und "verarbeitet" sind entsprechend auszulegen; und die Begriffe "Unternehmen", "Dienstanbieter" und "verkaufen" haben die Bedeutung, die ihnen im CCPA zugewiesen wird.

2. Rolle und Umfang der Verarbeitung

a. Umfang. Vorbehaltlich Abschnitt 2(b) gilt diese DPA in dem Umfang, in dem Couchbase als Auftragsverarbeiter oder Dienstleister (je nach Fall) Kundendaten verarbeitet, die durch geltende Datenschutzgesetze geschützt sind.

b. Die Rolle der Parteien. The parties acknowledge and agree that (i) with respect to the processing of Customer Data, Customer is the relevant business, controller or processor (as applicable) of such  Customer Data, and Couchbase is a service provider, processor or subprocessor (as applicable) on behalf of Customer, as further described in Annex A of this DPA; and (ii) with respect to Personal Data included in any technical usage data Couchbase collects in connection with Customer’s use of the Cloud Service (“Verwendungsdaten"), ist Couchbase das relevante Unternehmen oder der Verantwortliche für die Nutzungsdaten und wird die Nutzungsdaten in Übereinstimmung mit der Couchbase-Datenschutzrichtlinie verarbeiten, die unter https://www.couchbase.com/privacy-policy. Jede Partei wird bei der Erfüllung dieser DPA alle für sie geltenden und verbindlichen Gesetze, Regeln und Vorschriften einhalten, einschließlich aller geltenden Datenschutzgesetze. In Bezug auf Nutzungsdaten wird Couchbase diese Daten nur in Übereinstimmung mit den Abschnitten 8(a)(iii) und (iv) verarbeiten, soweit diese anwendbar sind.

c. Couchbase verarbeitet personenbezogene Daten. Couchbase verpflichtet sich, Kundendaten nur für die in der DPA beschriebenen Zwecke und in Übereinstimmung mit den dokumentierten rechtmäßigen Anweisungen des Kunden zu verarbeiten. Die Parteien sind sich einig, dass die Vereinbarung (einschließlich dieser DPA) die vollständigen und endgültigen Anweisungen des Kunden an Couchbase in Bezug auf die Verarbeitung von Kundendaten enthält und dass eine Verarbeitung außerhalb des Anwendungsbereichs dieser Anweisungen (falls zutreffend) eine vorherige schriftliche Vereinbarung zwischen dem Kunden und Couchbase erfordert. Unbeschadet des Abschnitts 2(d) (Verantwortlichkeiten des Kunden) wird Couchbase den Kunden schriftlich benachrichtigen, es sei denn, dies ist nach den geltenden Datenschutzgesetzen verboten, und kann die Verarbeitung von Kundendaten aussetzen, wenn Couchbase feststellt oder glaubt, dass eine Datenverarbeitungsanweisung des Kunden gegen geltende Datenschutzgesetze verstößt.

d. Verantwortlichkeiten des Kunden. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung von Kundendaten im Rahmen oder in Verbindung mit dem Vertrag verantwortlich. Der Kunde sichert zu und gewährleistet, dass (i) er alle Mitteilungen gemacht und alle Zustimmungen, Erlaubnisse und Rechte eingeholt hat und weiterhin einholen wird, die nach den anwendbaren Datenschutzgesetzen erforderlich sind, damit Couchbase die Kundendaten für die in der Vereinbarung (einschließlich dieser DPA) vorgesehenen Zwecke rechtmäßig verarbeiten kann; (ii) er alle anwendbaren Datenschutzgesetze als Verantwortlicher und/oder Unternehmen für Kundendaten für die Sammlung und Bereitstellung solcher Kundendaten an Couchbase und seine Unterverarbeiter eingehalten hat; und (iii) er sicherstellt, dass seine Verarbeitungsanweisungen mit den anwendbaren Gesetzen (einschließlich der anwendbaren Datenschutzgesetze) übereinstimmen und dass die Verarbeitung von Kundendaten durch Couchbase in Übereinstimmung mit den Anweisungen des Kunden nicht dazu führt, dass Couchbase gegen die anwendbaren Datenschutzgesetze verstößt.

e. Aggregierte Daten. Ungeachtet des Vorstehenden oder gegenteiliger Bestimmungen in der Vereinbarung (einschließlich dieser DPA) erkennt der Kunde an, dass Couchbase und seine verbundenen Unternehmen das Recht haben, anonymisierte, zusammengefasste und/oder de-identifizierte Informationen (gemäß der Definition in den anwendbaren Datenschutzgesetzen) für ihre eigenen legitimen Geschäfte zu sammeln und zu erstellen.

3. Weiterverarbeitung

a. Zugelassene Unterauftragsverarbeiter. Der Kunde erkennt an und stimmt zu, dass Couchbase Unterverarbeiter beauftragen kann, um Kundendaten im Namen des Kunden zu verarbeiten. Die derzeit von Couchbase beauftragten und vom Kunden autorisierten Unterauftragsverarbeiter sind auf der Couchbase-Website aufgeführt (derzeit unter https://info.couchbase.com/cloud-subprocessors.html). Mindestens fünfzehn (15) Tage vor dem Hinzufügen eines neuen Unterauftragsverarbeiters wird Couchbase die entsprechende Website aktualisieren und den Kunden über den auf der Couchbase-Website bereitgestellten Mechanismus über diese Aktualisierung informieren, es sei denn, Couchbase ist der Ansicht, dass eine beschleunigte Beauftragung eines neuen Unterauftragsverarbeiters notwendig ist, um die Vertraulichkeit, Integrität oder Verfügbarkeit der Kundendaten zu schützen oder eine wesentliche Unterbrechung des Cloud-Dienstes zu vermeiden, dann wird Couchbase eine solche Benachrichtigung so schnell wie möglich übermitteln.

4. Sicherheit und Audits

a. Sicherheitsmaßnahmen.  Couchbase implementiert und unterhält angemessene technische und organisatorische Sicherheitsmaßnahmen, die dazu bestimmt sind, die Kundendaten unter seiner Kontrolle vor Sicherheitsvorfällen zu schützen und die Sicherheit und Vertraulichkeit der Kundendaten zu wahren, wobei der Stand der Technik, die Kosten der Implementierung und die Art, der Umfang, der Kontext und die Zwecke der Verarbeitung berücksichtigt werden ("Sicherheitsmaßnahmen"). Diese Sicherheitsmaßnahmen umfassen mindestens die in Anhang B dieser DPA beschriebenen Maßnahmen. Couchbase stellt sicher, dass jede Person, die von Couchbase ermächtigt ist, Kundendaten im Rahmen dieser DPA zu verarbeiten, einer angemessenen Vertraulichkeitsverpflichtung unterliegt (sei es eine vertragliche oder gesetzliche Verpflichtung).

b. Aktualisierungen der Sicherheitsmaßnahmen. Der Kunde erkennt an, dass die Sicherheitsmaßnahmen dem technischen Fortschritt und der Entwicklung unterliegen und dass Couchbase die Sicherheitsmaßnahmen von Zeit zu Zeit aktualisieren oder ändern kann, vorausgesetzt, dass solche Aktualisierungen und Änderungen nicht zu einer Verschlechterung der Gesamtsicherheit des vom Kunden erworbenen Cloud Service führen.

c. Verantwortlichkeiten für die Sicherheit des Kunden. Ungeachtet des Vorstehenden erklärt sich der Kunde damit einverstanden, dass er, sofern nicht in dieser DPA vorgesehen, angemessene technische und organisatorische Sicherheitsmaßnahmen zum Schutz vor Sicherheitsvorfällen und zur Wahrung der Sicherheit und Vertraulichkeit von Kundendaten, die sich in seiner Herrschaft und unter seiner Kontrolle befinden, einführt und aufrechterhält. Der Kunde ist verantwortlich für (i) den Schutz der Sicherheit aller Kundenanmeldeinformationen, die für den Zugriff auf den Cloud-Service verwendet werden; (ii) die Sicherung der Cloud-Umgebung des Kunden und aller Kundensysteme (wobei diese Maßnahmen unter anderem die regelmäßige Rotation der Zugangsschlüssel und andere branchenübliche Maßnahmen zum Ausschluss unbefugten Zugriffs umfassen); (iii) Sicherung und Schutz der Kundendaten unter der Kontrolle des Kunden innerhalb der Cloud-Umgebung des Kunden oder eines anderen vom Kunden kontrollierten Systems; und (iv) Überprüfung der von Couchbase zur Verfügung gestellten Informationen in Bezug auf Datensicherheit und Datenschutz und unabhängige Feststellung, ob der Cloud-Service die Anforderungen des Kunden und seine rechtlichen Verpflichtungen gemäß dem geltenden Datenschutzrecht erfüllt.

d. Reaktion auf Sicherheitsvorfälle. To the extent required by Applicable Data Protection Laws, upon becoming aware of a Security Incident, Couchbase shall notify Customer without undue delay and shall: (i) to assist Customer in relation to any personal data breach notifications Customer is required to make under Applicable Data Protection Laws, Couchbase will include in such notice to Customer timely information relating to the Security Incident as it becomes known, as is reasonably requested by Customer, taking into account the nature of the Cloud Service, the information available to Couchbase, and any restrictions on disclosing the information, such as confidentiality; and (ii) promptly take steps, deemed necessary and reasonable by Couchbase, to contain, investigate, and remediate any Security Incident, to the extent that the remediation is within Couchbase’s reasonable control.  Couchbase’s notification of or response to a Security Incident under this Section 4(d) shall not be construed as an acknowledgment by Couchbase of any fault or liability with respect to the Security Incident. The obligations set forth herein shall not apply to Security Incidents to the extent they are caused by Customer or its Authorized Users.

e. Sicherheitsprüfungen. Couchbase shall provide written responses (on a confidential basis) to all reasonable written requests for information made by Customer related to Couchbase’s processing of Customer Data, including responses to information security and audit questionnaires that are necessary to confirm Couchbase’s compliance with this DPA, provided that Customer shall not exercise this right more than once in any twelve (12) month rolling period.  Notwithstanding the foregoing, Customer may also exercise such audit right in the event Customer is expressly requested or required to provide this information to a data protection authority, or Couchbase has experienced a Security Incident, or on another reasonably similar basis.

5. Internationale Überweisungen

a. Bearbeitungsorte. Customer acknowledges and agrees that Couchbase may transfer and process Customer Data to and in the United States and anywhere else in the world where Couchbase, its Affiliates or its Sub-processors maintain data processing operations.  Couchbase shall at all times ensure such transfers are made in compliance with the requirements of Applicable Data Protection Laws and this DPA.

6. Löschung von Kundendaten

a. Der Cloud-Dienst bietet dem Kunden Kontrollmechanismen, mit denen der Kunde während der Laufzeit die Kundendaten in einer Weise löschen oder abrufen kann, die mit der Funktionalität des Cloud-Dienstes vereinbar ist.

b. Customer hereby authorizes Couchbase, upon termination or expiry of the Agreement, or in case of termination or suspension of the Cloud Service pursuant to the Agreement, to delete all Customer Data (including copies) in its possession or control in accordance with the Agreement, save that this requirement shall not apply to the extent Couchbase is required by applicable law to retain some or all of the Customer Data.

7. Rechte von Einzelpersonen und Zusammenarbeit

a. Ersuchen der betroffenen Person. The Cloud Service provide Customer with a number of controls, including security features and functionalities, that Customer may use to retrieve, correct, delete or restrict Customer Data, as described in any documentation applicable to the Cloud Service. Without prejudice to Section 4(a), Customer may use these controls as technical and organizational measures to assist it in connection with its obligations under Applicable Data Protection Laws, including its obligations relating to responding to requests from data subjects. To the extent that Customer is unable to independently access the relevant Customer Data within the Cloud Service, Couchbase shall, taking into account the nature of the processing, provide reasonable cooperation to assist Customer to respond to any requests from individuals or applicable data protection authorities relating to the processing of Customer Data under the Agreement.  In the event that any such request is made to Couchbase directly, Couchbase shall not respond to such communication directly without Customer’s prior authorization, unless legally compelled to do so. If Couchbase is required to respond to such a request, Couchbase shall promptly notify Customer and provide it with a copy of the request unless legally prohibited from doing so.

b. Vorladungen und Gerichtsbeschlüsse. Wenn eine Strafverfolgungsbehörde Couchbase eine Forderung nach Kundendaten sendet (z.B. durch eine Vorladung oder einen Gerichtsbeschluss), wird Couchbase den Kunden in angemessener Weise von der Forderung in Kenntnis setzen, um dem Kunden die Möglichkeit zu geben, eine Schutzverfügung oder ein anderes geeignetes Rechtsmittel zu beantragen, es sei denn, Couchbase ist dies gesetzlich untersagt.

8. Rechtsprechungsspezifische Bedingungen

a. Europa. Soweit die Kundendaten den europäischen Datenschutzgesetzen unterliegen, gelten die folgenden Bestimmungen zusätzlich zu den Bestimmungen in den übrigen Teilen dieser DPA:

i. Verpflichtungen des Unterauftragsverarbeiters. Couchbase muss: (A) einen schriftlichen Vertrag mit jedem Unterauftragsverarbeiter abschließen, der Datenschutzbedingungen enthält, die den Unterauftragsverarbeiter dazu verpflichten, personenbezogene Daten so zu schützen, wie es das geltende europäische Datenschutzrecht und diese DSGVO vorschreiben; und (B) für die Einhaltung der Verpflichtungen aus dieser DSGVO und für alle Handlungen oder Unterlassungen des Unterauftragsverarbeiters verantwortlich bleiben, die dazu führen, dass Couchbase seine Verpflichtungen aus dieser DSGVO verletzt.

ii. Einwände gegen Unterauftragsverarbeiter. Customer may object in writing to Couchbase’s appointment of a new Sub-processor on reasonable grounds relating to data protection (e.g. if making Customer Data available to the Sub-processor may violate European Data Protection Law or weaken the protections for such Customer Data) by notifying Couchbase promptly in writing within five (5) calendar days of receipt of notice from Couchbase in accordance with Section 3(a) above.  Such notice shall explain the reasonable grounds for the objection and the parties shall discuss such concerns in good faith with a view to achieving commercially reasonable resolution.  If no such resolution can be reached, Couchbase will, at its sole discretion, either not appoint Sub-processor, or permit Customer to suspend or terminate the affected Cloud Service in accordance with the termination provisions in the Agreement without liability to either party (but without prejudice to any fees incurred by Customer prior to suspension or termination). Unless an objection is made as set forth in this Section 8(a)(ii), Customer consents to Couchbase’s use of sub-processors as described in this DPA.

iii. Übermittlung von Daten. Soweit Couchbase personenbezogene Daten, die durch europäische Datenschutzgesetze geschützt sind, in einem Drittland verarbeitet (oder verarbeiten lässt), das nicht als Land anerkannt ist, das einen angemessenen Schutz für personenbezogene Daten bietet (wie in den europäischen Datenschutzgesetzen beschrieben), gelten die Bestimmungen und Bedingungen von Anhang C (Übermittlung von Daten) will apply and Customer (as data exporter) will be deemed to have entered into the Model Clauses with Couchbase (as data importer) and Couchbase agrees to abide by and process such Customer Data in in compliance with the Model Clauses, which are incorporated in full by reference and form an integral part of this DPA. For the purposes of the descriptions in the Model Clauses: (A) Couchbase agrees that it is a “data importer” and Customer is the “data exporter” (notwithstanding that Customer may itself be an entity located outside the EEA or the United Kingdom); (B) Annex A and Annex B of this DPA shall replace Appendix 1 and Appendix 2 of the Model Clauses. It is not the intention of either party, nor the effect of this DPA, to contradict or restrict any of the provisions set forth in the Model Clauses. Accordingly, if and to the extent the Model Clauses conflict with any provision of this DPA, the Model Clauses shall prevail to the extent of such conflict. The Model Clauses will not apply to Customer Data that is not transferred, either directly or via onward transfer, outside the EEA or the United Kingdom.

iv. Alternativer Transfer-Mechanismus. Wenn und soweit Couchbase eine alternative Datenexportlösung für die Übertragung von Kundendaten gemäß den geltenden europäischen Datenschutzgesetzen ("Alternativer Transfer-Mechanismus"), gilt stattdessen der alternative Übertragungsmechanismus (jedoch nur in dem Umfang, in dem dieser alternative Übertragungsmechanismus auf die Übertragung Anwendung findet).

v. Datenschutz-Folgenabschätzung. Soweit Couchbase nach geltendem europäischem Datenschutzrecht verpflichtet ist, stellt Couchbase angemessen angeforderte Informationen über die Verarbeitung personenbezogener Daten durch Couchbase im Rahmen der Vereinbarung zur Verfügung, um den Kunden in die Lage zu versetzen, Datenschutz-Folgenabschätzungen oder vorherige Konsultationen mit Aufsichtsbehörden, wie gesetzlich vorgeschrieben, durchzuführen.

b. Kalifornien. Soweit die Kundendaten dem CCPA unterliegen, erklären sich die Parteien damit einverstanden, dass der Kunde ein Unternehmen ist und Couchbase als seinen Dienstleister beauftragt, die Kundendaten im Rahmen der Vereinbarung (einschließlich dieser DPA) und des CCPA oder für anderweitig schriftlich vereinbarte Zwecke zu verarbeiten (die "Zulässige Zwecke"). Kunde und Couchbase vereinbaren, dass: (i) Couchbase personenbezogene Daten nicht für andere als die zulässigen Zwecke aufbewahrt, nutzt oder offenlegt; (ii) Kundendaten nicht an Couchbase verkauft wurden und Couchbase personenbezogene Daten (im Sinne des CCPA) nicht "verkauft"; (iii) Couchbase personenbezogene Daten nicht außerhalb der direkten Geschäftsbeziehung zwischen dem Kunden und Couchbase aufbewahrt, nutzt oder offenlegt; und (iv) Couchbase personenbezogene Daten im Zuge der Bereitstellung des Cloud-Dienstes de-identifizieren oder aggregieren kann. Couchbase bestätigt, dass es die in diesem Abschnitt 8(b) dargelegten Einschränkungen versteht und sie einhalten wird.

9. Begrenzung der Haftung

a. Die Haftung jeder Partei und aller ihrer verbundenen Unternehmen insgesamt, die sich aus oder im Zusammenhang mit dieser DPA (einschließlich der Modellklauseln) ergibt, ob aus Vertrag, unerlaubter Handlung (einschließlich Fahrlässigkeit) oder unter einer anderen Haftungstheorie, unterliegt den Haftungsbeschränkungen und -ausschlüssen der Vereinbarung, und jede Bezugnahme in den Bestimmungen auf die Haftung einer Partei bedeutet die Gesamthaftung dieser Partei und aller ihrer verbundenen Unternehmen unter und im Zusammenhang mit der Vereinbarung und dieser DPA.

b. Except where Applicable Data Protection Laws require a Customer Affiliate to exercise a right or seek any remedy under this DPA against Couchbase directly by itself, the parties agree that (i) solely the Customer entity that is the contracting party to the Agreement shall exercise any right or seek any remedy any Customer Affiliate may have under this DPA on behalf of its Affiliates, and (ii) the Customer that is the contracting party to the Agreement shall exercise any such rights under this DPA not separately for each Affiliate individually but in a combined manner for all of its Affiliates together.

10. Sonstiges

a. Except for the changes made by this DPA, the Agreement remains unchanged and in full force and effect.

b. This DPA may be executed in counterparts, each of which will be deemed an original, but all of which together will constitute one and the same instrument.

c. If any provision or part-provision of this DPA is or becomes invalid, illegal or unenforceable, it shall be deemed deleted, but that shall not affect the validity and enforceability of the rest of the DPA.

d. Diese DPA unterliegt dem geltenden Recht und den Gerichtsstandsbestimmungen des Abkommens und ist gemäß diesen auszulegen, sofern die europäischen Datenschutzgesetze nichts anderes vorschreiben.

 

Anhang A
Datenverarbeitung Beschreibung

Dieser Anhang A ist Teil der DSGVO und beschreibt (i) die Verarbeitung von Kundendaten durch Couchbase als Auftragsverarbeiter oder Unterauftragsverarbeiter im Namen des Kunden als Verantwortlicher bzw. Auftragsverarbeiter und (ii) die Übertragung von Nutzungsdaten durch Couchbase als Verantwortlicher.

1) Kundendaten

Dauer

Die Dauer der Datenverarbeitung unter dieser DPA ist bis zur Beendigung der Vereinbarung in Übereinstimmung mit ihren Bedingungen plus dem Zeitraum vom Auslaufen der Vereinbarung bis zur Löschung der personenbezogenen Daten durch Couchbase in Übereinstimmung mit den Bedingungen der Vereinbarung (einschließlich dieser DPA).

Kategorien von Daten

Die zu verarbeitenden personenbezogenen Daten betreffen die folgenden Datenkategorien (bitte angeben):

● Personenbezogene Daten in Kundeninhalten: Personenbezogene Daten, die in Inhalten oder Daten enthalten sind, die vom oder im Namen des Kunden oder autorisierten Nutzern durch oder über den Cloud-Service bereitgestellt werden.

Besondere Kategorien von Daten (falls zutreffend)

Die Parteien beabsichtigen nicht, im Rahmen des Abkommens Daten besonderer Kategorien zu verarbeiten.

Betroffene Personen

Die zu verarbeitenden personenbezogenen Daten betreffen die folgenden Kategorien von betroffenen Personen (bitte angeben):

● Data subjects include individuals about whom data is provided to Couchbase via the Cloud Service by or at the direction of Customer, including Authorized Users. Data subjects may include Customer’s customers, employees, suppliers and end-users.

Verarbeitung der Vorgänge

Die personenbezogenen Daten werden den folgenden grundlegenden Verarbeitungstätigkeiten unterzogen (bitte angeben):
● processing to provide the Cloud Service in accordance with the Agreement;
● Verarbeitung zur Durchführung aller für die Erfüllung des Vertrags erforderlichen Schritte;
● die vom Kunden bei seiner Nutzung des Cloud-Dienstes veranlasste Verarbeitung; und
● processing to comply with other reasonable instructions provided by Customer (e.g. via email or support tickets) that are consistent with the terms of the Agreement.

Frequenz
Die personenbezogenen Daten können fortlaufend übermittelt werden.

ii) Nutzungsdaten

Dauer

Nutzungsdaten werden während der Laufzeit der jeweiligen Vereinbarung übertragen und aufbewahrt, zuzüglich des Zeitraums, in dem die Nutzungsdaten für die legitimen Geschäftsbemühungen von Couchbase erforderlich sind. Bestimmte aggregierte und anonymisierte Aufzeichnungen von Nutzeraktionen können dauerhaft gespeichert werden.

Kategorien von Daten

Die zu übermittelnden personenbezogenen Daten betreffen die folgenden Datenkategorien (bitte angeben):

●  Personenbezogene Daten in Nutzungsdaten: Zu den Nutzungsdaten können Informationen über das Benutzerkonto, einschließlich der Konto-ID und der E-Mail-Adresse, persönliche Identifikationsdaten, einschließlich der IP-Adresse, Beschäftigungsinformationen, Kontaktinformationen, Browserinformationen und Metadaten gehören.

Besondere Kategorien von Daten (falls zutreffend)

Die Parteien beabsichtigen nicht, im Rahmen des Abkommens Daten besonderer Kategorien zu übermitteln.

Betroffene Personen

Die zu verarbeitenden personenbezogenen Daten betreffen die folgenden Kategorien von betroffenen Personen (bitte angeben):

●  Data subjects may include Customer, Customer’s employees and other Authorized Users and any other permitted collaborators.

Verarbeitung der Vorgänge

Die personenbezogenen Daten werden den folgenden grundlegenden Verarbeitungstätigkeiten unterzogen (bitte angeben):

●  processing to provide and administer the products, services and support;
●  Processing to derive insights in order to improve the products, services and support and support business development;
●  Processing to engage and respond to customer questions, perform marketing and sales activities, and analyze business metadata.

Frequenz

Die personenbezogenen Daten können fortlaufend übermittelt werden.

 

Anhang B
Sicherheitsmaßnahmen

Dieser Anhang beschreibt die Sicherheitsmaßnahmen von Couchbase. Der Kunde erkennt an, dass der Cloud-Dienst gemäß einem Modell der geteilten Verantwortung betrieben wird, das unter anderem verlangt, dass der Kunde bestimmte Schritte unternimmt, wie z. B. den Schutz der Sicherheit der Kundeninhalte (die in der Umgebung des Kunden unter der Kontrolle des Kunden gespeichert bleiben). Wenn und soweit Couchbase Kundendaten im Namen des Kunden in Verbindung mit dem Cloud-Dienst verarbeitet oder Nutzungsdaten gemäß den Standardvertragsklauseln überträgt, muss Couchbase die folgenden Sicherheitsmaßnahmen implementieren und aufrechterhalten:

Maßnahmen zur Datenverschlüsselung

● All customer data is encrypted in-transit using TLS 1.2 (or higher) and encrypted at-rest  using AES-256 encryption.
● Employee laptops are encrypted using full disk AES-256 encryption.
● All credentials are encrypted in transit using TLS 1.2 (or higher) and encrypted at-rest.
Die Verschlüsselungsschlüssel werden jährlich rotiert und im AWS Key Management Service gespeichert und verwaltet.

Maßnahmen zur Verfügbarkeit und Wiederherstellbarkeit

Couchbase unterhält Disaster-Recovery- und Business-Continuity-Pläne und -Verfahren, die darauf ausgelegt sind, die Verfügbarkeit des Cloud-Dienstes in angemessener Weise sicherzustellen.
Das Couchbase Capella-Angebot wird in geografisch verteilten Rechenzentren betrieben, die von branchenweit anerkannten Public-Cloud-Anbietern wie Amazon (AWS), Microsoft (Azure) und Google (GCP) betrieben werden (falls zutreffend).
● Redundanz ist in die Systeminfrastruktur eingebaut, die das Couchbase Capella Angebot unterstützt. Für den Fall, dass ein primäres System ausfällt, ist die redundante Infrastruktur in einer anderen Verfügbarkeitszone so konfiguriert, dass sie dessen Platz einnimmt.
● Backups werden in kontrollierten Umgebungen innerhalb der Cloud-Infrastruktur gespeichert. Der logische Zugriff auf die Sicherungsdaten ist auf das zuständige Personal beschränkt und wird in einem Speicher mit hoher Verfügbarkeit gespeichert.
● On an annual basis, a backup restoration test is performed where operations personnel restore a backup from a snapshot to ensure that data could be recovered in the event of an incident.

Organisatorische Sicherheitsmaßnahmen

Couchbase hat ein formelles Informationssicherheitsmanagementsystem (ISMS) eingerichtet, um die Vertraulichkeit, Integrität und Verfügbarkeit des Couchbase Capella Angebots und der Informationssysteme zu schützen und die Wirksamkeit der Sicherheitskontrollen für Daten und Informationssysteme zu gewährleisten.
● Employees are required to undergo Anti-Bribery & Corruption, Ethics and Code of Conduct, Insider Trading, Global Data Privacy and annual Security Awareness Training.
● Employees are required to sign non-disclosure and Confidentiality agreements upon hire.
● Formal policies and procedures are in place for employee onboarding and offboarding activities. Account provisioning and de-provisioning processes are defined and implemented.
● Employee access is removed upon termination or adjusted as required as a result of  role change.
● Multi-factor Authentication (MFA) is enforced for access to critical and production resources.
● Password complexity requirements are enforced.
● Segregation of responsibilities and duties is implemented to reduce opportunities for unauthorized or unintentional modification or misuse.
● Couchbase maintains signed non-disclosure agreements with third parties.
● Couchbase networks are segregated based on trust levels and protected by firewalls.

Protokollierungs- und Überwachungsmaßnahmen

● Logging of user activities, exceptions, faults, and information security events are enabled. Logs are retained, as necessary.
● All logs can be accessed only by authorized Couchbase employees and access controls are in place to prevent unauthorized access.
● Write access to logging data is strictly prohibited. Logging facilities and log information are protected against tampering and unauthorized access through use of access controls and security measures.
● Couchbase has various monitoring measures in place to generate security alerts and identify irregular activity.
● The Couchbase Capella operations team regularly reviews security alerts and their underlying configuration to ensure they are operating as intended and that controls are modified as conditions change.

Maßnahmen zur Zugangskontrolle

● Couchbase implements security best practices and uses a role-based security architecture across the database, network, and application layers and strictly follows principles of least privilege when granting access to key systems.
● Couchbase has defined job functions and roles to support proper segregation of duties.
● Access to operational, production and disaster recovery environments is protected by use of unique user accounts, strong passwords, use of Multi-Factor Authentication (MFA), role-based access, and principle of least privileges.
● Access keys used by production Couchbase applications (e.g. AWS Access Keys) are accessible only to authorized personnel. They are rotated (changed) as required (e.g., pursuant to a security advisory or personnel departure) and at least yearly.
● User activity in operational environments including access, modification or deletion of data is logged.
● Authorization requests and provisioning is logged, tracked and audited.
● Web Application Firewalls (WAF), in addition to the network-based firewalls, are deployed.

Physische Sicherheitsmaßnahmen

● The Couchbase Capella offering is deployed in geographically distributed data centers operated by industry recognized public cloud service providers such as Amazon (AWS), Microsoft (Azure) and Google (GCP) (as applicable).
● Physical access to all facilities containing sensitive data is restricted and managed.
● All information resource facilities (e.g. network closets and storerooms) are physically protected in proportion to the criticality or importance of their function.
● Access to information resource facilities is granted only to company personnel and contractors whose job responsibilities require access to those facilities.
● All information resource facilities that allow access to visitors are configured to track visitor access with a sign-in log.
● Card access records and visitor logs for information resource facilities are kept for routine review based upon the criticality of the information resources being protected.
● Equipment is protected to reduce the risks from environmental threats, hazards, and opportunities for unauthorized access.

Sichere Systemkonfigurationen

● Couchbase has a Change Management policy and procedure in place.
● Couchbase monitors changes to in-scope systems to ensure that the applicable standard process is followed and to mitigate any risk of un-detected changes to production. Changes are tracked in the change management system.
● Access Control policy and procedures are in place to prevent unauthorized changes.
● Mobile device management controls are in place.

Governance

● Couchbase has established a formal Information Security Management System (ISMS) in order to protect the confidentiality, integrity and availability of the Couchbase Capella offering and information systems, and to ensure the effectiveness of security controls over data and information systems.
● Couchbase has in place a documented and approved information security policy, including supporting documentation.
● The authority and responsibility for managing Couchbase’s information security program has been delegated to Information Security and Compliance Group, who is authorized by senior management to take actions necessary to establish, implement, and manage Couchbase’s information security program.

Einhaltung der Vorschriften

● Couchbase is audited by an independent third-party auditor and has achieved SOC 2 Type 1 compliance, attesting to our commitment to controls that safeguard the confidentiality and availability of information stored and processed in the Couchbase Capella service.

Minimaler Zugang zu Daten

● Privacy assessments are performed related to implementation of new products/services and processing of personal data by third parties.
● Data collection is limited to the purposes of the processing (or the data that the customer chooses to provide).
● Security measures are in place to provide only the minimum amount of access necessary to perform required functions.
● Data retention requirements are identified
● Access to personal data is restricted to the personnel  involved in the processing, adhering to the “need to know” principle, and according to defined roles and responsibilities of the individuals.

Maßnahmen zur Rechenschaftspflicht

● Customer Privacy Assessments are required when introducing any new product/service that involves processing of personal data.
● Data protection impact assessments are part of any new processing initiative.

Anträge auf Zugang zu personenbezogenen Daten

● Data subjects are eligible to request the export of their personal data in an industry standard format.
● Processes are in place that allow individuals to exercise their privacy rights (e.g. right of erasure or right to data portability), as described in Couchbase’s publicly available Privacy Policy.

Couchbase wird auch weiterhin die jüngsten Leitlinien des Europäischen Datenschutzausschusses über zusätzliche Maßnahmen zur Erfüllung der Angemessenheitsanforderungen der Datenschutz-Grundverordnung (DSGVO) und alle anderen von den europäischen Datenschutzbehörden herausgegebenen Leitlinien analysieren, sobald diese vorliegen.

 

Anhang C
Übermittlung von Daten

Dieser Anhang legt die Bedingungen fest, die gelten, wenn die Nutzung des Cloud-Dienstes durch den Kunden einen Weiterleitungsmechanismus erfordert, um personenbezogene Daten aus einer Rechtsordnung rechtmäßig an Couchbase zu übertragen, die sich außerhalb dieser Rechtsordnung befindet.

1. UK Standardvertragsklauseln.  Bei Datenübermittlungen aus dem Vereinigten Königreich, für die die Standardvertragsklauseln des Vereinigten Königreichs gelten, gelten die Standardvertragsklauseln des Vereinigten Königreichs als abgeschlossen (und werden durch Verweis in diese DSGVO aufgenommen) und werden wie folgt ergänzt:

a. The UK Controller to Processor SCCs will apply where Couchbase is processing Customer Data.  The illustrative indemnification clause will not apply.  Annex A serves as Appendix 1 of the UK Controller to Processor SCCs.  Annex B serves as Appendix 2 of the UK Controller to Processor SCCs. Annex D sets out Couchbase’s and Customer’s interpretation of their respective obligations under specific clauses of the UK Controller to Processor SCCs, as applicable.

b. The UK Controller to Controller SCCs will apply where Couchbase is transferring Usage Data.  In Clause II(h), Couchbase will transfer personal data in accordance with the data processing principles set forth in Annex A of the UK Controller to Controller SCCs.  The illustrative commercial clause will not apply. Schedule A of this DPA serves as Annex B of the UK Controller to Controller SCCs.

2. Die Standardvertragsklauseln 2021.  Für Datenübermittlungen, die der DSGVO und/oder dem schweizerischen DSG unterliegen, gelten die Standardvertragsklauseln von 2021 in der folgenden Weise:

a. Modul Eins (Controller to Controller) findet Anwendung, wenn der Kunde ein Controller der Nutzungsdaten ist und Couchbase ein Controller der Nutzungsdaten ist.

b. Modul Zwei (Controller to Processor) findet Anwendung, wenn der Kunde ein Controller der Kundendaten und Couchbase ein Prozessor der Kundendaten ist;

c. Modul drei (Verarbeiter zu Verarbeiter) findet Anwendung, wenn der Kunde ein Verarbeiter von Kundendaten und Couchbase ein Unterverarbeiter von Kundendaten ist;

d. Für jedes Modul, sofern zutreffend:
(i) In Klausel 7 wird die fakultative Andockklausel angewendet;
(ii) in Klausel 9 gilt Option 2, und die Frist für die vorherige Mitteilung von Änderungen des Unterauftragsverarbeiters richtet sich nach Abschnitt 3 (Unterauftragsverarbeitung) dieser DPA;
(iii) In Klausel 11 wird die fakultative Formulierung nicht angewendet;
(iv) in Klausel 17 (Option 1) unterliegen die Standardvertragsklauseln von 2021 dem Recht des EU-Mitgliedstaats, in dem der Datenexporteur niedergelassen ist, und, falls dies nicht der Fall ist, dem irischen Recht.
(v) in Klausel 18(b) werden Streitigkeiten vor den Gerichten des EU-Mitgliedstaates entschieden, in dem der Datenexporteur niedergelassen ist, und falls dies nicht der Fall ist, vor den Gerichten der Republik Irland.
(vi) In Anhang I, Teil A:

Datenexporter:  Kunde und autorisierte Tochtergesellschaften des Kunden.

Kontaktinformationen:  Die E-Mail-Adresse(n) des Kunden, die als das relevante Konto für den Empfang von Mitteilungen im Rahmen des Cloud-Dienstes angegeben wurde(n)

Rolle des Datenexporteurs:  Der Kunde ist der für die Verarbeitung Verantwortliche bzw. der Verarbeiter der Kundendaten und der für die Nutzungsdaten Verantwortliche.

Unterschrift & Datum:  Mit dem Abschluss des Abkommens wird davon ausgegangen, dass der Datenexporteur die hierin enthaltenen Standardvertragsklauseln einschließlich ihrer Anhänge zum Zeitpunkt des Inkrafttretens des Abkommens unterzeichnet hat.

Datenimporteur:  Couchbase, Inc.

Kontaktinformationen: Couchbase Legal Team - legal@couchbase.com

Rolle des Datenimporteurs: Couchbase ist der Verarbeiter oder Unterverarbeiter von Kundendaten und der Verantwortliche für die Nutzungsdaten.

Unterschrift & Datum: Durch den Abschluss des Abkommens wird davon ausgegangen, dass der Datenimporteur diese hierin aufgenommenen Standardvertragsklauseln einschließlich ihrer Anhänge zum Zeitpunkt des Inkrafttretens des Abkommens unterzeichnet hat.

(vii) In Anhang I Teil B:
Die Kategorien der betroffenen Personen sind in Anhang A dieser Datenschutzrichtlinie beschrieben.

Die übermittelten sensiblen Daten sind in Anhang A dieser Datenschutzrichtlinie beschrieben.

Die Häufigkeit der Übermittlung erfolgt kontinuierlich während der Laufzeit des Abkommens.

Die Art der Verarbeitung ist in Anhang A dieser Datenschutzrichtlinie beschrieben.

Der Zweck der Verarbeitung ist in Anhang A dieser Datenschutzrichtlinie beschrieben.

Der Zeitraum der Verarbeitung ist in Anhang A dieser Datenschutzrichtlinie beschrieben.

Für die Übermittlung an Unterauftragsverarbeiter sind Gegenstand, Art und Dauer der Verarbeitung unter https://info.couchbase.com/cloud-subprocessors.html

(viii) In Anhang I Teil C: Die Aufsichtsbehörde des in Abschnitt 3 Buchstabe d Ziffer iv genannten EU-Mitgliedstaates fungiert als zuständige Aufsichtsbehörde.

(ix) Schema 2 dient als Anhang II der Standardvertragsklauseln.

4. Widersprüchliche Begriffe. Im Falle eines Widerspruchs zwischen den Standardvertragsklauseln und anderen Bestimmungen dieser DPA haben die Bestimmungen der Standardvertragsklauseln Vorrang.

 

Anhang D

In diesem Anhang wird dargelegt, wie die Parteien ihre jeweiligen Verpflichtungen aus den nachstehend aufgeführten Klauseln der SCCs zwischen dem für die Verarbeitung Verantwortlichen und dem Auftragsverarbeiter im Vereinigten Königreich (auch als ’Klauseln" bezeichnet) auslegen. Hält sich eine Partei an die in diesem Anhang dargelegten Auslegungen, so geht die andere Partei davon aus, dass sie ihre Verpflichtungen aus den Klauseln erfüllt hat.
Für die Zwecke dieses Anhangs bedeutet “DPA” das zwischen dem Datenimporteur und dem Datenexporteur bestehende Datenverarbeitungs-Addendum, in das diese Klauseln aufgenommen werden, und “Abkommen” hat die Bedeutung, die ihm in dem DPA gegeben wird.

Klausel 4(h) und 8: Offenlegung dieser Klauseln

1. Der Datenexporteur erklärt sich damit einverstanden, dass diese Klauseln vertrauliche Informationen des Datenimporteurs gemäß der Definition dieses Begriffs in der Vereinbarung darstellen und vom Datenexporteur ohne vorherige schriftliche Zustimmung des Datenimporteurs nicht an Dritte weitergegeben werden dürfen, es sei denn, dies ist gemäß der Vereinbarung zulässig. Dies steht einer Offenlegung dieser Klauseln gegenüber einer betroffenen Person gemäß Klausel 4 Buchstabe h) oder einer Aufsichtsbehörde gemäß Klausel 8 nicht entgegen.

Klausel 5(a): Aussetzung der Datenübermittlung und Kündigung:

1. Die Parteien erkennen an, dass der Datenimporteur die personenbezogenen Daten nur im Auftrag des Datenexporteurs und gemäß dessen Anweisungen, wie sie vom Datenexporteur erteilt wurden, sowie gemäß den Klauseln verarbeiten darf.

2. Die Parteien erkennen an, dass der Datenimporteur den Datenexporteur unverzüglich darüber informiert, wenn er aus irgendeinem Grund nicht in der Lage ist, diese Anforderungen zu erfüllen; in diesem Fall ist der Datenexporteur berechtigt, die Datenübermittlung auszusetzen und/oder den Vertrag zu kündigen.

3. Beabsichtigt der Datenexporteur, die Übermittlung personenbezogener Daten auszusetzen und/oder diese Klauseln zu kündigen, so ist er bestrebt, den Datenimporteur davon in Kenntnis zu setzen und ihm eine angemessene Frist einzuräumen, um die Nichteinhaltung zu beheben (“Aushärtungszeit").

4. Hat der Datenimporteur nach Ablauf der Behebungsfrist die Nichteinhaltung nicht behoben oder kann er sie nicht beheben, kann der Datenexporteur die Übermittlung personenbezogener Daten unverzüglich aussetzen oder beenden. Der Datenexporteur ist nicht verpflichtet, eine solche Mitteilung zu machen, wenn er der Auffassung ist, dass ein erhebliches Risiko für die betroffenen Personen oder ihre personenbezogenen Daten besteht.

Klausel 5(f): Prüfung:

1. Der Datenexporteur erkennt an und erklärt sich damit einverstanden, dass er sein Audit-Recht gemäß Klausel 5 Buchstabe f ausübt, indem er den Datenimporteur anweist, die in Abschnitt 4 (Sicherheit und Audits) der DSGVO beschriebenen Audit-Maßnahmen einzuhalten.

Klausel 5(j): Offenlegung von Vereinbarungen mit Unterauftragsverarbeitern

1. Die Parteien erkennen die Verpflichtung des Datenimporteurs an, dem Datenexporteur unverzüglich eine Kopie der von ihm gemäß den Klauseln abgeschlossenen Vereinbarung über die Weiterverarbeitung zu übermitteln.

2. Die Parteien erkennen ferner an, dass es dem Datenimporteur aufgrund von Beschränkungen der Vertraulichkeit von Unterauftragsverarbeitern untersagt sein kann, dem Datenexporteur Vereinbarungen mit Unterauftragsverarbeitern offen zu legen. Dessen ungeachtet bemüht sich der Datenimporteur in angemessener Weise, von jedem von ihm beauftragten Unterauftragsverarbeiter zu verlangen, dass er dem Datenexporteur die Offenlegung der Unterauftragsverarbeitungs-Vereinbarung gestattet.

3. Selbst wenn der Datenimporteur dem Datenexporteur eine Unterverarbeitungsvereinbarung nicht offenlegen kann, vereinbaren die Parteien, dass der Datenimporteur auf Anfrage des Datenexporteurs (auf vertraulicher Basis) dem Datenexporteur alle Informationen zur Verfügung stellt, die er im Zusammenhang mit einer solchen Unterverarbeitungsvereinbarung vernünftigerweise erhalten kann.

Klausel 6: Haftung

1. Alle Ansprüche, die aufgrund dieser Klauseln geltend gemacht werden, unterliegen den Bestimmungen und Bedingungen, einschließlich, aber nicht beschränkt auf die Ausschlüsse und Beschränkungen, die in der Vereinbarung festgelegt sind. In keinem Fall darf eine Partei ihre Haftung in Bezug auf die Rechte der betroffenen Person gemäß diesen Klauseln einschränken.

Klausel 11: Weitergehende Unterverarbeitungen

1. Die Parteien erkennen an, dass der Datenexporteur gemäß FAQ II.1 des Papiers WP 176 der Artikel-29-Datenschutzgruppe mit dem Titel “FAQs zur Klärung einiger Fragen, die durch das Inkrafttreten des Beschlusses 2010/87/EU der EU-Kommission vom 5. Februar 2010 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern gemäß der Richtlinie 95/46/EG aufgeworfen wurden” eine allgemeine Zustimmung zur Weiterverarbeitung durch den Datenimporteur erteilen kann.

2. Dementsprechend erteilt der Datenexporteur dem Datenimporteur gemäß Klausel 11 dieser Klauseln eine allgemeine Einwilligung zur Beauftragung von Unterauftragsverarbeitern. Diese Zustimmung ist an die Bedingung geknüpft, dass der Datenimporteur die in Abschnitt 8(a) des DSG festgelegten Anforderungen erfüllt.