Couchbase Capella Cloud Kundendatenverarbeitung Addendum
Dieses Addendum zur Datenverarbeitung (dieses "DPA”) ist Teil des Capella Cloud Service-Abonnementvertrags oder einer anderen Vereinbarung zwischen dem Kunden und Couchbase, die die Nutzung des Cloud Service durch den Kunden regelt ("Vereinbarung"), zwischen Couchbase, Inc. ("Couchbase") und die Partei, die als die "Kunde" in der Vereinbarung ("Kunde") (jeweils ein "Party" und zusammen die "Parteien").
Diese DPA beschreibt die Verpflichtungen der Parteien hinsichtlich der Verarbeitung personenbezogener Daten in Verbindung mit der Nutzung des Cloud-Dienstes durch den Kunden. Im Falle eines Widerspruchs zwischen den Bedingungen des Vertrags und den Bedingungen dieser DPA haben die Bedingungen dieser DPA im Umfang des Widerspruchs Vorrang. Jeder großgeschriebene Begriff, der in dieser DPA nicht definiert ist, hat die Bedeutung, die ihm in der Vereinbarung gegeben wird.
Die Vertragsparteien kommen wie folgt überein:
1. Definitionen. Die folgenden in Großbuchstaben geschriebenen Begriffe haben, wenn sie in dieser DPA verwendet werden, die unten angegebene Bedeutung:
a. "Geltende Datenschutzgesetze”Der Begriff “Datenschutz” bezeichnet alle weltweiten Datenschutzgesetze, -vorschriften, -regeln, -verordnungen und sonstigen Erlasse, die auf die personenbezogenen Daten anwendbar sind, einschließlich (aber nicht beschränkt auf): (i) europäische Datenschutzgesetze und (ii) alle Gesetze und Verordnungen der Vereinigten Staaten, einschließlich des California Consumer Privacy Act von 2018 (California Civil Code §§ 1798.100 et seq ("CCPA"); in der jeweils geänderten, ergänzten oder ersetzten Fassung.
b. "KundendatenDer Begriff "personenbezogene Daten" bezeichnet alle personenbezogenen Daten, die von Couchbase im Auftrag des Kunden als Dienstleister oder Auftragsverarbeiter (je nach Fall) in Verbindung mit dem Cloud-Service verarbeitet werden, wie in Anhang A dieser DSGVO näher beschrieben.
c. "EEA"sind die Mitgliedstaaten der Europäischen Union sowie Island, Liechtenstein und Norwegen.
d. "Europäische Datenschutzgesetze” bedeutet: (i) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (“GDPR"); (ii) Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation ("Datenschutzrichtlinie für elektronische Kommunikation (e-Privacy)"); (iii) alle anwendbaren nationalen Umsetzungen von (i) und (ii); (iv) das Schweizerische Bundesgesetz über den Datenschutz vom 19. Juni 1992 und seine Verordnung ("Schweizer EDA”); und (v) in Bezug auf das Vereinigte Königreich der Data Protection Act 2018 und alle anwendbaren nationalen Rechtsvorschriften, die die DSGVO, die Datenschutzrichtlinie für elektronische Kommunikation oder andere Gesetze in Bezug auf Daten und den Schutz der Privatsphäre als Folge des Austritts des Vereinigten Königreichs aus der Europäischen Union ersetzen oder in nationales Recht umsetzen; jeweils in der geänderten, ersetzten oder ersetzten Fassung.
e. "Muster-Klauseln”(i) die Standardvertragsklauseln für Auftragsverarbeiter, wie sie von der Europäischen Kommission gemäß dem Beschluss 2021/914 (die “Standardvertragsklauseln") genehmigt wurden: (i) die Standardvertragsklauseln für Auftragsverarbeiter, wie sie von der Europäischen Kommission gemäß ihrem Beschluss 2021/914 genehmigt wurden (die "2021 Standardvertragsklauseln”) und (ii) die Standardvertragsklauseln des Vereinigten Königreichs, jeweils alternativ als Standardvertragsklauseln bezeichnet, die durch Verweis in diese DPA aufgenommen werden und Teil dieser DPA sind.
f. "Persönliche Daten”sind alle Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen und als “ " geschützt sind“persönliche Daten“, “persönliche Daten” oder “persönlich identifizierbare Informationen” gemäß den geltenden Datenschutzgesetzen.
g. "Sicherheitsvorfall”bezeichnet jede Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugriff auf Kundendaten führt, die von Couchbase und/or seinen Sub-Prozessoren im Zusammenhang mit der Bereitstellung des Cloud-Dienstes übermittelt, gespeichert oder anderweitig verarbeitet werden. Die Parteien erkennen an und sind sich einig, dass ein “Sicherheitsvorfall” keine erfolglosen Versuche oder Aktivitäten umfasst, die die Sicherheit der Kundendaten nicht beeinträchtigen, einschließlich erfolgloser Anmeldeversuche, Pings, Port-Scans, Denial-of-Service-Angriffe und anderer Netzangriffe auf Firewalls oder vernetzte Systeme.
h. "Sub-Prozessor”bedeutet jeden Auftragsverarbeiter, der von Couchbase oder ihren verbundenen Unternehmen beauftragt wird, bei der Erfüllung ihrer Verpflichtungen in Bezug auf die Bereitstellung des Cloud-Dienstes gemäß der Vereinbarung oder dieser AVV zu unterstützen. Unterauftragsverarbeiter können Dritte oder verbundene Unternehmen von Couchbase sein, schließen jedoch alle Mitarbeiter, Auftragnehmer oder Berater von Couchbase aus.
i. “UK Standardvertragsklauseln” bedeutet (i) von der Europäischen Kommission mit der Entscheidung 2010/87/EU genehmigte Standardvertragsklauseln für Übermittlungen von einem Verantwortlichen an einen Auftragsverarbeiter (“UK Controller an Verarbeiter SCCs”); und (ii) Standardvertragsklauseln für die Übermittlung von Daten zwischen für die Verarbeitung Verantwortlichen, die von der Europäischen Kommission in der Entscheidung 2004/915/EG (“UK Controller zu Controller SCCs").
j. Die Begriffe “Controller", "Prozessor" und "Verarbeitung"haben die Bedeutung, die ihnen in der Datenschutz-Grundverordnung zugewiesen wird, und "Prozess", "Prozesse" und "verarbeitet" sind entsprechend auszulegen; und die Begriffe "Unternehmen", "Dienstanbieter" und "verkaufen" haben die Bedeutung, die ihnen im CCPA zugewiesen wird.
2. Rolle und Umfang der Verarbeitung
a. Umfang. Vorbehaltlich Abschnitt 2(b) gilt diese DPA in dem Umfang, in dem Couchbase als Auftragsverarbeiter oder Dienstleister (je nach Fall) Kundendaten verarbeitet, die durch geltende Datenschutzgesetze geschützt sind.
b. Die Rolle der Parteien. Die Parteien erkennen an und vereinbaren, dass (i) in Bezug auf die Verarbeitung von Kundendaten der Kunde das jeweils relevante Unternehmen, der Verantwortliche oder der Auftragsverarbeiter (je nach Anwendbarkeit) dieser Kundendaten ist und Couchbase ein Dienstleister, Auftragsverarbeiter oder Unterauftragsverarbeiter (je nach Anwendbarkeit) im Auftrag des Kunden ist, wie in Anhang A dieses AVV näher beschrieben; und (ii) in Bezug auf personenbezogene Daten, die in technischen Nutzungsdaten enthalten sind, die Couchbase im Zusammenhang mit der Nutzung des Cloud-Dienstes durch den Kunden erfasst (“Verwendungsdaten"), ist Couchbase das relevante Unternehmen oder der Verantwortliche für die Nutzungsdaten und wird die Nutzungsdaten in Übereinstimmung mit der Couchbase-Datenschutzrichtlinie verarbeiten, die unter https://www.couchbase.com/privacy-policy. Jede Partei wird bei der Erfüllung dieser DPA alle für sie geltenden und verbindlichen Gesetze, Regeln und Vorschriften einhalten, einschließlich aller geltenden Datenschutzgesetze. In Bezug auf Nutzungsdaten wird Couchbase diese Daten nur in Übereinstimmung mit den Abschnitten 8(a)(iii) und (iv) verarbeiten, soweit diese anwendbar sind.
c. Couchbase verarbeitet personenbezogene Daten. Couchbase verpflichtet sich, Kundendaten nur für die in der DPA beschriebenen Zwecke und in Übereinstimmung mit den dokumentierten rechtmäßigen Anweisungen des Kunden zu verarbeiten. Die Parteien sind sich einig, dass die Vereinbarung (einschließlich dieser DPA) die vollständigen und endgültigen Anweisungen des Kunden an Couchbase in Bezug auf die Verarbeitung von Kundendaten enthält und dass eine Verarbeitung außerhalb des Anwendungsbereichs dieser Anweisungen (falls zutreffend) eine vorherige schriftliche Vereinbarung zwischen dem Kunden und Couchbase erfordert. Unbeschadet des Abschnitts 2(d) (Verantwortlichkeiten des Kunden) wird Couchbase den Kunden schriftlich benachrichtigen, es sei denn, dies ist nach den geltenden Datenschutzgesetzen verboten, und kann die Verarbeitung von Kundendaten aussetzen, wenn Couchbase feststellt oder glaubt, dass eine Datenverarbeitungsanweisung des Kunden gegen geltende Datenschutzgesetze verstößt.
d. Verantwortlichkeiten des Kunden. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung von Kundendaten im Rahmen oder in Verbindung mit dem Vertrag verantwortlich. Der Kunde sichert zu und gewährleistet, dass (i) er alle Mitteilungen gemacht und alle Zustimmungen, Erlaubnisse und Rechte eingeholt hat und weiterhin einholen wird, die nach den anwendbaren Datenschutzgesetzen erforderlich sind, damit Couchbase die Kundendaten für die in der Vereinbarung (einschließlich dieser DPA) vorgesehenen Zwecke rechtmäßig verarbeiten kann; (ii) er alle anwendbaren Datenschutzgesetze als Verantwortlicher und/oder Unternehmen für Kundendaten für die Sammlung und Bereitstellung solcher Kundendaten an Couchbase und seine Unterverarbeiter eingehalten hat; und (iii) er sicherstellt, dass seine Verarbeitungsanweisungen mit den anwendbaren Gesetzen (einschließlich der anwendbaren Datenschutzgesetze) übereinstimmen und dass die Verarbeitung von Kundendaten durch Couchbase in Übereinstimmung mit den Anweisungen des Kunden nicht dazu führt, dass Couchbase gegen die anwendbaren Datenschutzgesetze verstößt.
e. Aggregierte Daten. Ungeachtet des Vorstehenden oder gegenteiliger Bestimmungen in der Vereinbarung (einschließlich dieser DPA) erkennt der Kunde an, dass Couchbase und seine verbundenen Unternehmen das Recht haben, anonymisierte, zusammengefasste und/oder de-identifizierte Informationen (gemäß der Definition in den anwendbaren Datenschutzgesetzen) für ihre eigenen legitimen Geschäfte zu sammeln und zu erstellen.
3. Weiterverarbeitung
a. Zugelassene Unterauftragsverarbeiter. Der Kunde erkennt an und stimmt zu, dass Couchbase Unterverarbeiter beauftragen kann, um Kundendaten im Namen des Kunden zu verarbeiten. Die derzeit von Couchbase beauftragten und vom Kunden autorisierten Unterauftragsverarbeiter sind auf der Couchbase-Website aufgeführt (derzeit unter https://info.couchbase.com/cloud-subprocessors.html). Mindestens fünfzehn (15) Tage vor dem Hinzufügen eines neuen Unterauftragsverarbeiters wird Couchbase die entsprechende Website aktualisieren und den Kunden über den auf der Couchbase-Website bereitgestellten Mechanismus über diese Aktualisierung informieren, es sei denn, Couchbase ist der Ansicht, dass eine beschleunigte Beauftragung eines neuen Unterauftragsverarbeiters notwendig ist, um die Vertraulichkeit, Integrität oder Verfügbarkeit der Kundendaten zu schützen oder eine wesentliche Unterbrechung des Cloud-Dienstes zu vermeiden, dann wird Couchbase eine solche Benachrichtigung so schnell wie möglich übermitteln.
4. Sicherheit und Audits
a. Sicherheitsmaßnahmen. Couchbase implementiert und unterhält angemessene technische und organisatorische Sicherheitsmaßnahmen, die dazu bestimmt sind, die Kundendaten unter seiner Kontrolle vor Sicherheitsvorfällen zu schützen und die Sicherheit und Vertraulichkeit der Kundendaten zu wahren, wobei der Stand der Technik, die Kosten der Implementierung und die Art, der Umfang, der Kontext und die Zwecke der Verarbeitung berücksichtigt werden ("Sicherheitsmaßnahmen"). Diese Sicherheitsmaßnahmen umfassen mindestens die in Anhang B dieser DPA beschriebenen Maßnahmen. Couchbase stellt sicher, dass jede Person, die von Couchbase ermächtigt ist, Kundendaten im Rahmen dieser DPA zu verarbeiten, einer angemessenen Vertraulichkeitsverpflichtung unterliegt (sei es eine vertragliche oder gesetzliche Verpflichtung).
b. Aktualisierungen der Sicherheitsmaßnahmen. Der Kunde erkennt an, dass die Sicherheitsmaßnahmen dem technischen Fortschritt und der Entwicklung unterliegen und dass Couchbase die Sicherheitsmaßnahmen von Zeit zu Zeit aktualisieren oder ändern kann, vorausgesetzt, dass solche Aktualisierungen und Änderungen nicht zu einer Verschlechterung der Gesamtsicherheit des vom Kunden erworbenen Cloud Service führen.
c. Verantwortlichkeiten für die Sicherheit des Kunden. Ungeachtet des Vorstehenden erklärt sich der Kunde damit einverstanden, dass er, sofern nicht in dieser DPA vorgesehen, angemessene technische und organisatorische Sicherheitsmaßnahmen zum Schutz vor Sicherheitsvorfällen und zur Wahrung der Sicherheit und Vertraulichkeit von Kundendaten, die sich in seiner Herrschaft und unter seiner Kontrolle befinden, einführt und aufrechterhält. Der Kunde ist verantwortlich für (i) den Schutz der Sicherheit aller Kundenanmeldeinformationen, die für den Zugriff auf den Cloud-Service verwendet werden; (ii) die Sicherung der Cloud-Umgebung des Kunden und aller Kundensysteme (wobei diese Maßnahmen unter anderem die regelmäßige Rotation der Zugangsschlüssel und andere branchenübliche Maßnahmen zum Ausschluss unbefugten Zugriffs umfassen); (iii) Sicherung und Schutz der Kundendaten unter der Kontrolle des Kunden innerhalb der Cloud-Umgebung des Kunden oder eines anderen vom Kunden kontrollierten Systems; und (iv) Überprüfung der von Couchbase zur Verfügung gestellten Informationen in Bezug auf Datensicherheit und Datenschutz und unabhängige Feststellung, ob der Cloud-Service die Anforderungen des Kunden und seine rechtlichen Verpflichtungen gemäß dem geltenden Datenschutzrecht erfüllt.
d. Reaktion auf Sicherheitsvorfälle. Soweit dies nach geltendem Datenschutzrecht erforderlich ist, benachrichtigt Couchbase den Kunden nach Bekanntwerden eines Sicherheitsvorfalls unverzüglich und wird: (i) zur Unterstützung des Kunden im Zusammenhang mit Benachrichtigungen über Verletzungen des Schutzes personenbezogener Daten, die der Kunde gemäß dem geltenden Datenschutzrecht vornehmen muss, in diese Benachrichtigung an den Kunden zeitnahe Informationen über den Sicherheitsvorfall aufnehmen, sobald diese bekannt werden und vom Kunden in angemessener Weise angefordert werden, unter Berücksichtigung der Art des Clouddienstes, der Couchbase zur Verfügung stehenden Informationen und etwaiger Beschränkungen bei der Offenlegung der Informationen, wie z. B. der Vertraulichkeit; und (ii) unverzüglich Maßnahmen ergreifen, die von Couchbase als notwendig und angemessen erachtet werden, um einen Sicherheitsvorfall einzudämmen, zu untersuchen und zu beheben, soweit die Behebung in der angemessenen Kontrolle von Couchbase liegt. Die Benachrichtigung über einen Sicherheitsvorfall oder die Reaktion darauf durch Couchbase gemäß diesem Abschnitt 4(d) ist nicht als Anerkenntnis von einem Verschulden oder einer Haftung in Bezug auf den Sicherheitsvorfall auszulegen. Die hierin dargelegten Verpflichtungen gelten nicht für Sicherheitsvorfälle, soweit diese vom Kunden oder seinen autorisierten Benutzern verursacht wurden.
e. Sicherheitsprüfungen. Couchbase stellt dem Kunden auf alle angemessenen schriftlichen Informationsanfragen des Kunden im Zusammenhang mit der Verarbeitung von Kundendaten durch Couchbase schriftliche Antworten (auf vertraulicher Basis) zur Verfügung, einschließlich Antworten auf Informationssicherheits- und Audit-Fragebögen, die zur Bestätigung der Einhaltung dieses AVV durch Couchbase erforderlich sind, mit der Maßgabe, dass der Kunde dieses Recht nicht öfter als einmal innerhalb eines rollierenden Zeitraums von zwölf (12) Monaten ausüben darf. Ungeachtet des Vorstehenden kann der Kunde dieses Auditrecht auch dann ausüben, wenn der Kunde ausdrücklich aufgefordert oder verpflichtet wird, diese Informationen einer Datenschutzbehörde zur Verfügung zu stellen, oder wenn Couchbase einen Sicherheitsvorfall erlebt hat, oder aus einem anderen vernünftigerweise ähnlichen Grund.
5. Internationale Überweisungen
a. Bearbeitungsorte. Der Kunde erkennt an und erklärt sich damit einverstanden, dass Couchbase Kundendaten in die Vereinigten Staaten sowie an jeden anderen Ort weltweit übertragen und dort verarbeiten darf, an dem Couchbase, seine verbundenen Unternehmen oder seine Unterauftragsverarbeiter Datenverarbeitungsvorgänge unterhalten. Couchbase stellt jederzeit sicher, dass solche Übertragungen in Übereinstimmung mit den Anforderungen der anwendbaren Datenschutzgesetze und dieses AVV erfolgen.
6. Löschung von Kundendaten
a. Der Cloud-Dienst bietet dem Kunden Kontrollmechanismen, mit denen der Kunde während der Laufzeit die Kundendaten in einer Weise löschen oder abrufen kann, die mit der Funktionalität des Cloud-Dienstes vereinbar ist.
b. Der Kunde ermächtigt Couchbase hiermit, bei Beendigung oder Ablauf des Vertrages oder im Falle der Kündigung oder Aussetzung des Cloud-Dienstes gemäß dem Vertrag alle Kundendaten (einschließlich Kopien) in dessen Besitz oder unter dessen Kontrolle in Übereinstimmung mit dem Vertrag zu löschen, mit der Maßgabe, dass diese Anforderung insoweit nicht gilt, als Couchbase nach geltendem Recht verpflichtet ist, einige oder alle Kundendaten aufzubewahren.
7. Rechte von Einzelpersonen und Zusammenarbeit
a. Ersuchen der betroffenen Person. Der Cloud-Dienst stellt dem Kunden eine Reihe von Kontrollmechanismen, einschließlich Sicherheitsfunktionen und -funktionalitäten, zur Verfügung, die der Kunde nutzen kann, um Kundendaten abzurufen, zu korrigieren, zu löschen oder deren Verarbeitung einzuschränken, wie dies in einer für den Cloud-Dienst geltenden Dokumentation beschrieben ist. Unbeschadet von Abschnitt 4(a) kann der Kunde diese Kontrollmechanismen als technische und organisatorische Maßnahmen nutzen, um ihn bei der Erfüllung seiner Verpflichtungen gemäß den anwendbaren Datenschutzgesetzen, einschließlich seiner Verpflichtungen im Zusammenhang mit der Beantwortung von Anträgen betroffener Personen, zu unterstützen. Soweit der Kunde nicht in der Lage ist, selbständig auf die relevanten Kundendaten innerhalb des Cloud-Dienstes zuzugreifen, wird Couchbase unter Berücksichtigung der Art der Verarbeitung angemessene Mitwirkung leisten, um den Kunden bei der Beantwortung von Anträgen von Einzelpersonen oder zuständigen Datenschutzbehörden im Zusammenhang mit der Verarbeitung von Kundendaten gemäß der Vereinbarung zu unterstützen. Für den Fall, dass ein solcher Antrag direkt an Couchbase gerichtet wird, wird Couchbase diesen Antrag nicht ohne vorherige Genehmigung des Kunden direkt beantworten, es sei denn, sie ist gesetzlich dazu verpflichtet. Wenn Couchbase verpflichtet ist, auf einen solchen Antrag zu antworten, wird Couchbase den Kunden unverzüglich benachrichtigen und ihm eine Kopie des Antrags zur Verfügung stellen, es sei denn, dies ist gesetzlich verboten.
b. Vorladungen und Gerichtsbeschlüsse. Wenn eine Strafverfolgungsbehörde Couchbase eine Forderung nach Kundendaten sendet (z.B. durch eine Vorladung oder einen Gerichtsbeschluss), wird Couchbase den Kunden in angemessener Weise von der Forderung in Kenntnis setzen, um dem Kunden die Möglichkeit zu geben, eine Schutzverfügung oder ein anderes geeignetes Rechtsmittel zu beantragen, es sei denn, Couchbase ist dies gesetzlich untersagt.
8. Rechtsprechungsspezifische Bedingungen
a. Europa. Soweit die Kundendaten den europäischen Datenschutzgesetzen unterliegen, gelten die folgenden Bestimmungen zusätzlich zu den Bestimmungen in den übrigen Teilen dieser DPA:
i. Verpflichtungen des Unterauftragsverarbeiters. Couchbase muss: (A) einen schriftlichen Vertrag mit jedem Unterauftragsverarbeiter abschließen, der Datenschutzbedingungen enthält, die den Unterauftragsverarbeiter dazu verpflichten, personenbezogene Daten so zu schützen, wie es das geltende europäische Datenschutzrecht und diese DSGVO vorschreiben; und (B) für die Einhaltung der Verpflichtungen aus dieser DSGVO und für alle Handlungen oder Unterlassungen des Unterauftragsverarbeiters verantwortlich bleiben, die dazu führen, dass Couchbase seine Verpflichtungen aus dieser DSGVO verletzt.
ii. Einwände gegen Unterauftragsverarbeiter. Der Kunde kann der Ernennung eines neuen Unterauftragsverarbeiters durch Couchbase aus vernünftigen Gründen im Zusammenhang mit dem Datenschutz (z. B. wenn die Bereitstellung von Kundendaten für den Unterauftragsverarbeiter gegen europäisches Datenschutzrecht verstoßen oder den Schutz für diese Kundendaten schwächen könnte) schriftlich widersprechen, indem er Couchbase unverzüglich innerhalb von fünf (5) Kalendertagen nach Erhalt der Mitteilung von Couchbase gemäß Abschnitt 3(a) oben schriftlich benachrichtigt. Eine solche Mitteilung muss die vernünftigen Gründe für den Widerspruch darlegen, und die Parteien werden diese Bedenken nach Treu und Glauben im Hinblick auf eine kommerziell vernünftige Lösung besprechen. Wenn keine solche Lösung gefunden werden kann, wird Couchbase nach eigenem Ermessen entweder den Unterauftragsverarbeiter nicht ernennen oder dem Kunden gestatten, den betroffenen Cloud-Dienst gemäß den Kündigungsbestimmungen im Vertrag ohne Haftung für keine der beiden Parteien zu suspendieren oder zu kündigen (jedoch unbeschadet aller Gebühren, die dem Kunden vor der Suspendierung oder Kündigung entstanden sind). Sofern kein Widerspruch gemäß diesem Abschnitt 8(a)(ii) erhoben wird, stimmt der Kunde der Verwendung von Unterauftragsverarbeitern durch Couchbase wie in diesem DPA beschrieben zu.
iii. Übermittlung von Daten. Soweit Couchbase personenbezogene Daten, die durch europäische Datenschutzgesetze geschützt sind, in einem Drittland verarbeitet (oder verarbeiten lässt), das nicht als Land anerkannt ist, das einen angemessenen Schutz für personenbezogene Daten bietet (wie in den europäischen Datenschutzgesetzen beschrieben), gelten die Bestimmungen und Bedingungen von Anhang C (Übermittlung von Daten) gelten und der Kunde (als Datenexporteur) gilt als den Musterklauseln mit Couchbase (als Datenimporteur) beigetreten, und Couchbase verpflichtet sich, diese Kundendaten in Übereinstimmung mit den Musterklauseln zu verarbeiten und einzuhalten, die durch Verweisung in vollem Umfang einbezogen werden und einen integralen Bestandteil dieser DPA bilden. Für die Zwecke der Beschreibungen in den Musterklauseln gilt: (A) Couchbase stimmt zu, dass es ein “Datenimporteur” ist und der Kunde der “Datenexporteur” ist (ungeachtet der Tatsache, dass der Kunde selbst eine Entität mit Sitz außerhalb des EWR oder des Vereinigten Königreichs sein kann); (B) Anhang A und Anhang B dieser DPA ersetzen Anlage 1 und Anlage 2 der Musterklauseln. Weder ist es die Absicht der Parteien noch die Wirkung dieser DPA, Bestimmungen der Musterklauseln zu widersprechen oder einzuschränken. Wenn und soweit die Musterklauseln im Widerspruch zu einer Bestimmung dieser DPA stehen, haben dementsprechend die Musterklauseln im Umfang dieses Widerspruchs Vorrang. Die Musterklauseln gelten nicht für Kundendaten, die weder direkt noch über eine Weiterübertragung außerhalb des EWR oder des Vereinigten Königreichs übermittelt werden.
iv. Alternativer Transfer-Mechanismus. Wenn und soweit Couchbase eine alternative Datenexportlösung für die Übertragung von Kundendaten gemäß den geltenden europäischen Datenschutzgesetzen ("Alternativer Transfer-Mechanismus"), gilt stattdessen der alternative Übertragungsmechanismus (jedoch nur in dem Umfang, in dem dieser alternative Übertragungsmechanismus auf die Übertragung Anwendung findet).
v. Datenschutz-Folgenabschätzung. Soweit Couchbase nach geltendem europäischem Datenschutzrecht verpflichtet ist, stellt Couchbase angemessen angeforderte Informationen über die Verarbeitung personenbezogener Daten durch Couchbase im Rahmen der Vereinbarung zur Verfügung, um den Kunden in die Lage zu versetzen, Datenschutz-Folgenabschätzungen oder vorherige Konsultationen mit Aufsichtsbehörden, wie gesetzlich vorgeschrieben, durchzuführen.
b. Kalifornien. Soweit die Kundendaten dem CCPA unterliegen, erklären sich die Parteien damit einverstanden, dass der Kunde ein Unternehmen ist und Couchbase als seinen Dienstleister beauftragt, die Kundendaten im Rahmen der Vereinbarung (einschließlich dieser DPA) und des CCPA oder für anderweitig schriftlich vereinbarte Zwecke zu verarbeiten (die "Zulässige Zwecke"). Kunde und Couchbase vereinbaren, dass: (i) Couchbase personenbezogene Daten nicht für andere als die zulässigen Zwecke aufbewahrt, nutzt oder offenlegt; (ii) Kundendaten nicht an Couchbase verkauft wurden und Couchbase personenbezogene Daten (im Sinne des CCPA) nicht "verkauft"; (iii) Couchbase personenbezogene Daten nicht außerhalb der direkten Geschäftsbeziehung zwischen dem Kunden und Couchbase aufbewahrt, nutzt oder offenlegt; und (iv) Couchbase personenbezogene Daten im Zuge der Bereitstellung des Cloud-Dienstes de-identifizieren oder aggregieren kann. Couchbase bestätigt, dass es die in diesem Abschnitt 8(b) dargelegten Einschränkungen versteht und sie einhalten wird.
9. Begrenzung der Haftung
a. Die Haftung jeder Partei und aller ihrer verbundenen Unternehmen insgesamt, die sich aus oder im Zusammenhang mit dieser DPA (einschließlich der Modellklauseln) ergibt, ob aus Vertrag, unerlaubter Handlung (einschließlich Fahrlässigkeit) oder unter einer anderen Haftungstheorie, unterliegt den Haftungsbeschränkungen und -ausschlüssen der Vereinbarung, und jede Bezugnahme in den Bestimmungen auf die Haftung einer Partei bedeutet die Gesamthaftung dieser Partei und aller ihrer verbundenen Unternehmen unter und im Zusammenhang mit der Vereinbarung und dieser DPA.
b. Sofern nicht geltende Datenschutzgesetze verlangen, dass ein verbundenes Unternehmen des Kunden ein Recht oder einen Rechtsbehelf im Rahmen dieses AVV direkt selbst gegen Couchbase geltend macht, vereinbaren die Parteien, dass (i) ausschließlich das Kundenunternehmen, das Vertragspartei der Vereinbarung ist, jedes Recht oder jeden Rechtsbehelf, das bzw. den ein verbundenes Unternehmen des Kunden im Rahmen dieses AVV haben könnte, im Namen seiner verbundenen Unternehmen ausübt oder geltend macht, und (ii) der Kunde, der Vertragspartei der Vereinbarung ist, diese Rechte im Rahmen dieses AVV nicht separat für jedes verbundene Unternehmen einzeln, sondern in kombinierter Form für alle seine verbundenen Unternehmen gemeinsam ausübt.
10. Sonstiges
Mit Ausnahme der durch diese AVV vorgenommenen Änderungen bleibt die Vereinbarung unverändert und in voller Kraft und wirksam.
Dieser AVV kann in Ausfertigungen unterzeichnet werden, von denen jede als Original gilt, die jedoch zusammen ein und dasselbe Dokument bilden.
c. Sollte eine Bestimmung oder Teilbestimmung dieses AVV ungültig, rechtswidrig oder undurchsetzbar sein oder werden, so gilt sie als gestrichen, dies berührt jedoch nicht die Gültigkeit und Durchsetzbarkeit des übrigen AVV.
d. Diese DPA unterliegt dem geltenden Recht und den Gerichtsstandsbestimmungen des Abkommens und ist gemäß diesen auszulegen, sofern die europäischen Datenschutzgesetze nichts anderes vorschreiben.
Anhang A
Datenverarbeitung Beschreibung
Dieser Anhang A ist Teil der DSGVO und beschreibt (i) die Verarbeitung von Kundendaten durch Couchbase als Auftragsverarbeiter oder Unterauftragsverarbeiter im Namen des Kunden als Verantwortlicher bzw. Auftragsverarbeiter und (ii) die Übertragung von Nutzungsdaten durch Couchbase als Verantwortlicher.
1) Kundendaten
Dauer
Die Dauer der Datenverarbeitung unter dieser DPA ist bis zur Beendigung der Vereinbarung in Übereinstimmung mit ihren Bedingungen plus dem Zeitraum vom Auslaufen der Vereinbarung bis zur Löschung der personenbezogenen Daten durch Couchbase in Übereinstimmung mit den Bedingungen der Vereinbarung (einschließlich dieser DPA).
Kategorien von Daten
Die zu verarbeitenden personenbezogenen Daten betreffen die folgenden Datenkategorien (bitte angeben):
● Personenbezogene Daten in Kundeninhalten: Personenbezogene Daten, die in Inhalten oder Daten enthalten sind, die vom oder im Namen des Kunden oder autorisierten Nutzern durch oder über den Cloud-Service bereitgestellt werden.
Besondere Kategorien von Daten (falls zutreffend)
Die Parteien beabsichtigen nicht, im Rahmen des Abkommens Daten besonderer Kategorien zu verarbeiten.
Betroffene Personen
Die zu verarbeitenden personenbezogenen Daten betreffen die folgenden Kategorien von betroffenen Personen (bitte angeben):
● Zu den betroffenen Personen gehören Einzelpersonen, über die dem Kunden oder auf dessen Anweisung hin Daten über den Cloud-Dienst an Couchbase übermittelt werden, einschließlich autorisierter Benutzer. Zu den betroffenen Personen können Kunden, Mitarbeiter, Lieferanten und Endbenutzer des Kunden gehören.
Verarbeitung der Vorgänge
Die personenbezogenen Daten werden den folgenden grundlegenden Verarbeitungstätigkeiten unterzogen (bitte angeben):
● Bearbeitung zur Bereitstellung des Cloud-Dienstes in Übereinstimmung mit der Vereinbarung;
● Verarbeitung zur Durchführung aller für die Erfüllung des Vertrags erforderlichen Schritte;
● die vom Kunden bei seiner Nutzung des Cloud-Dienstes veranlasste Verarbeitung; und
● Verarbeitung zur Befolgung anderer vom Kunden erteilter angemessener Anweisungen (z. B. per E-Mail oder Support-Tickets), die mit den Bedingungen der Vereinbarung vereinbar sind.
Frequenz
Die personenbezogenen Daten können fortlaufend übermittelt werden.
ii) Nutzungsdaten
Dauer
Nutzungsdaten werden während der Laufzeit der jeweiligen Vereinbarung übertragen und aufbewahrt, zuzüglich des Zeitraums, in dem die Nutzungsdaten für die legitimen Geschäftsbemühungen von Couchbase erforderlich sind. Bestimmte aggregierte und anonymisierte Aufzeichnungen von Nutzeraktionen können dauerhaft gespeichert werden.
Kategorien von Daten
Die zu übermittelnden personenbezogenen Daten betreffen die folgenden Datenkategorien (bitte angeben):
● Personenbezogene Daten in Nutzungsdaten: Zu den Nutzungsdaten können Informationen über das Benutzerkonto, einschließlich der Konto-ID und der E-Mail-Adresse, persönliche Identifikationsdaten, einschließlich der IP-Adresse, Beschäftigungsinformationen, Kontaktinformationen, Browserinformationen und Metadaten gehören.
Besondere Kategorien von Daten (falls zutreffend)
Die Parteien beabsichtigen nicht, im Rahmen des Abkommens Daten besonderer Kategorien zu übermitteln.
Betroffene Personen
Die zu verarbeitenden personenbezogenen Daten betreffen die folgenden Kategorien von betroffenen Personen (bitte angeben):
● Zu den betroffenen Personen können Kunden, Mitarbeiter des Kunden und andere autorisierte Benutzer sowie alle anderen zugelassenen Kooperationspartner gehören.
Verarbeitung der Vorgänge
Die personenbezogenen Daten werden den folgenden grundlegenden Verarbeitungstätigkeiten unterzogen (bitte angeben):
● Verarbeitung zur Bereitstellung und Verwaltung der Produkte, Dienstleistungen und des Supports;
● Verarbeitung zur Gewinnung von Erkenntnissen, um die Produkte, Dienstleistungen und den Support zu verbessern und die Geschäftsentwicklung zu unterstützen;
● Verarbeitung zur Bearbeitung von und Reaktion auf Kundenfragen, zur Durchführung von Marketing- und Vertriebsaktivitäten sowie zur Analyse von Geschäftsmetadaten.
Frequenz
Die personenbezogenen Daten können fortlaufend übermittelt werden.
Anhang B
Sicherheitsmaßnahmen
Dieser Anhang beschreibt die Sicherheitsmaßnahmen von Couchbase. Der Kunde erkennt an, dass der Cloud-Dienst gemäß einem Modell der geteilten Verantwortung betrieben wird, das unter anderem verlangt, dass der Kunde bestimmte Schritte unternimmt, wie z. B. den Schutz der Sicherheit der Kundeninhalte (die in der Umgebung des Kunden unter der Kontrolle des Kunden gespeichert bleiben). Wenn und soweit Couchbase Kundendaten im Namen des Kunden in Verbindung mit dem Cloud-Dienst verarbeitet oder Nutzungsdaten gemäß den Standardvertragsklauseln überträgt, muss Couchbase die folgenden Sicherheitsmaßnahmen implementieren und aufrechterhalten:
Maßnahmen zur Datenverschlüsselung
● Sämtliche Kundendaten werden bei der Übertragung mittels TLS 1.2 (oder höher) verschlüsselt und im Ruhezustand mit einer AES-256-Verschlüsselung geschützt.
● Die Laptops der Mitarbeiter sind mit einer vollständigen AES-256-Festplattenverschlüsselung verschlüsselt.
● Alle Anmeldeinformationen werden während der Übertragung mit TLS 1.2 (oder höher) verschlüsselt und im Ruhezustand verschlüsselt gespeichert.
Die Verschlüsselungsschlüssel werden jährlich rotiert und im AWS Key Management Service gespeichert und verwaltet.
Maßnahmen zur Verfügbarkeit und Wiederherstellbarkeit
Couchbase unterhält Disaster-Recovery- und Business-Continuity-Pläne und -Verfahren, die darauf ausgelegt sind, die Verfügbarkeit des Cloud-Dienstes in angemessener Weise sicherzustellen.
Das Couchbase Capella-Angebot wird in geografisch verteilten Rechenzentren betrieben, die von branchenweit anerkannten Public-Cloud-Anbietern wie Amazon (AWS), Microsoft (Azure) und Google (GCP) betrieben werden (falls zutreffend).
● Redundanz ist in die Systeminfrastruktur eingebaut, die das Couchbase Capella Angebot unterstützt. Für den Fall, dass ein primäres System ausfällt, ist die redundante Infrastruktur in einer anderen Verfügbarkeitszone so konfiguriert, dass sie dessen Platz einnimmt.
● Backups werden in kontrollierten Umgebungen innerhalb der Cloud-Infrastruktur gespeichert. Der logische Zugriff auf die Sicherungsdaten ist auf das zuständige Personal beschränkt und wird in einem Speicher mit hoher Verfügbarkeit gespeichert.
● Einmal jährlich wird ein Backup-Wiederherstellungstest durchgeführt, bei dem das Betriebspersonal ein Backup aus einem Snapshot wiederherstellt, um sicherzustellen, dass im Falle eines Vorfalls Daten wiederhergestellt werden können.
Organisatorische Sicherheitsmaßnahmen
Couchbase hat ein formelles Informationssicherheitsmanagementsystem (ISMS) eingerichtet, um die Vertraulichkeit, Integrität und Verfügbarkeit des Couchbase Capella Angebots und der Informationssysteme zu schützen und die Wirksamkeit der Sicherheitskontrollen für Daten und Informationssysteme zu gewährleisten.
● Mitarbeiter sind verpflichtet, an Schulungen zur Korruptionsbekämpfung (Anti-Bribery & Corruption), zu Ethik und Verhaltenskodex, zum Insiderhandel, zum globalen Datenschutz sowie an der jährlichen Sensibilisierungsschulung zur Sicherheit (Security Awareness Training) teilzunehmen.
● Mitarbeiter sind verpflichtet, bei der Einstellung Geheimhaltungs- und Vertraulichkeitsvereinbarungen zu unterzeichnen.
● Formale Richtlinien und Verfahren für die Einarbeitung und den Austritt von Mitarbeitern sind vorhanden. Prozesse zur Bereitstellung und Entziehung von Konten sind definiert und implementiert.
● Der Mitarbeiterzugang wird bei Beendigung des Arbeitsverhältnisses entzogen oder infolge einer Rollenänderung entsprechend angepasst.
● Für den Zugriff auf kritische und Produktionsressourcen ist die Multifaktor-Authentifizierung (MFA) obligatorisch.
● Die Anforderungen an die Passwortkomplexität werden durchgesetzt.
Die Trennung von Verantwortlichkeiten und Aufgaben wird implementiert, um die Möglichkeiten für unbefugte oder unbeabsichtigte Änderungen oder Missbrauch zu verringern.
● Couchbase unterhält unterzeichnete Geheimhaltungsvereinbarungen mit Dritten.
● Couchbase-Netzwerke sind nach Vertrauensstufen getrennt und durch Firewalls geschützt.
Protokollierungs- und Überwachungsmaßnahmen
● Die Protokollierung von Benutzeraktivitäten, Ausnahmen, Fehlern und Informationssicherheitsereignissen ist aktiviert. Protokolle werden nach Bedarf aufbewahrt.
Auf alle Protokolle kann nur von autorisierten Couchbase-Mitarbeitern zugegriffen werden, und es gibt Zugangskontrollen, um unbefugten Zugriff zu verhindern.
Schreibzugriff auf Protokollierungsdaten ist strengstens untersagt. Protokollierungseinrichtungen und Protokollinformationen werden durch den Einsatz von Zugriffskontrollen und Sicherheitsmaßnahmen vor Manipulation und unbefugtem Zugriff geschützt.
● Couchbase verfügt über verschiedene Überwachungsmaßnahmen, um Sicherheitswarnungen zu generieren und unregelmäßige Aktivitäten zu erkennen.
Das Betriebsteam von Couchbase Capella überprüft regelmäßig Sicherheitswarnungen und die zugrunde liegende Konfiguration, um sicherzustellen, dass sie wie vorgesehen funktionieren und dass die Kontrollen bei sich ändernden Bedingungen angepasst werden.
Maßnahmen zur Zugangskontrolle
● Couchbase setzt bewährte Sicherheitsmethoden um, verwendet eine rollenbasierte Sicherheitsarchitektur über die Datenbank-, Netzwerk- und Anwendungsschichten hinweg und befolgt bei der Verteilung von Zugriffsrechten auf Schlüsselsysteme streng die Prinzipien der geringsten Privilegien (Principle of Least Privilege).
● Couchbase hat Jobfunktionen und Rollen definiert, um eine ordnungsgemäße Funktionstrennung zu unterstützen.
● Der Zugriff auf Betriebs-, Produktions- und Notfallwiederherstellungsumgebungen ist durch die Verwendung eindeutiger Benutzerkonten, sicherer Passwörter, Multi-Faktor-Authentifizierung (MFA), rollenbasierter Zugriffskontrolle und das Prinzip der geringsten Privilegien geschützt.
● Von produktiven Couchbase-Anwendungen verwendete Zugriffsschlüssel (z. B. AWS-Zugriffsschlüssel) sind nur für autorisiertes Personal zugänglich. Sie werden bei Bedarf (z. B. aufgrund eines Sicherheitshinweises oder des Ausscheidens von Mitarbeitern) und mindestens einmal jährlich rotiert (geändert).
● Benutzeraktivitäten in Betriebsumgebungen, einschließlich des Zugriffs auf, der Änderung oder der Löschung von Daten, werden protokolliert.
● Berechtigungsanfragen und die Bereitstellung werden protokolliert, nachverfolgt und überprüft.
● Zusätzlich zu den netzwerkbasierten Firewalls werden Web Application Firewalls (WAF) eingesetzt.
Physische Sicherheitsmaßnahmen
● Das Couchbase Capella-Angebot wird in geografisch verteilten Rechenzentren bereitgestellt, die von branchenweit anerkannten Public-Cloud-Dienstanbietern wie Amazon (AWS), Microsoft (Azure) und Google (GCP) (je nach zutreffendem Fall) betrieben werden.
● Physischer Zugriff auf alle Einrichtungen, die sensible Daten enthalten, ist eingeschränkt und wird kontrolliert.
● Alle Informationsressourceneinrichtungen (z. B. Netzwerkschränke und Abstellräume) sind entsprechend der Kritikalität oder Wichtigkeit ihrer Funktion physisch geschützt.
● Der Zugriff auf Informationsressourceneinrichtungen wird nur Mitarbeitern des Unternehmens und Auftragnehmern gewährt, deren Aufgabenbereich einen Zugriff auf diese Einrichtungen erfordert.
● Alle Informationsressourceneinrichtungen, die Besuchern den Zugang ermöglichen, sind so konfiguriert, dass der Besucherzugang mit einem Anmeldeprotokoll erfasst wird.
● Kartenzugriffsdaten und Besucherprotokolle für Informationsressourceneinrichtungen werden basierend auf der Kritizität der zu schützenden Informationsressourcen für routinemäßige Überprüfungen aufbewahrt.
● Anlagen und Geräte sind geschützt, um Risiken durch Umwelteinflüsse, Gefahren und Möglichkeiten des unbefugten Zugriffs zu verringern.
Sichere Systemkonfigurationen
● Couchbase verfügt über eine Richtlinie und ein Verfahren zum Änderungsmanagement.
● Couchbase überwacht Änderungen an Systemen im Geltungsbereich, um sicherzustellen, dass der anwendbare Standardprozess eingehalten wird, und um das Risiko unerkannter Änderungen an der Produktion zu minimieren. Änderungen werden im Change-Management-System nachverfolgt.
● Richtlinien und Verfahren zur Zugriffskontrolle sind vorhanden, um unbefugte Änderungen zu verhindern.
● Es sind Steuerelemente für die Verwaltung mobiler Geräte vorhanden.
Governance
Couchbase hat ein formelles Informationssicherheits-Managementsystem (ISMS) eingerichtet, um die Vertraulichkeit, Integrität und Verfügbarkeit des Couchbase-Capella-Angebots und der Informationssysteme zu schützen sowie die Wirksamkeit der Sicherheitskontrollen für Daten und Informationssysteme sicherzustellen.
● Couchbase verfügt über eine dokumentierte und genehmigte Informationssicherheitsrichtlinie einschließlich der zugehörigen Dokumentation.
Die Befugnis und Verantwortung für die Verwaltung des Informationssicherheitsprogramms von Couchbase wurde an die Informationssicherheits- und Compliance-Gruppe übertragen, die von der Geschäftsleitung bevollmächtigt ist, die zur Einrichtung, Umsetzung und Verwaltung des Informationssicherheitsprogramms von Couchbase erforderlichen Maßnahmen zu ergreifen.
Einhaltung der Vorschriften
● Couchbase wird von einem unabhängigen Wirtschaftsprüfer geprüft und hat die SOC-2-Typ-1-Zertifizierung erhalten, was unser Engagement für Kontrollen bestätigt, die die Vertraulichkeit und Verfügbarkeit der im Couchbase-Capella-Dienst gespeicherten und verarbeiteten Informationen schützen.
Minimaler Zugang zu Daten
● Datenschutz-Folgenabschätzungen und -prüfungen werden im Zusammenhang mit der Einführung neuer Produkte/Dienstleistungen und der Verarbeitung personenbezogener Daten durch Dritte durchgeführt.
Die Datenerhebung ist auf die Zwecke der Verarbeitung (oder die Daten, die der Kunde freiwillig bereitstellt) beschränkt.
● Sicherheitsmaßnahmen sind so implementiert, dass nur das für die Ausführung der erforderlichen Funktionen minimal notwendige Maß an Zugriff gewährt wird.
● Aufbewahrungspflichten sind identifiziert
● Der Zugriff auf personenbezogene Daten ist auf das an der Verarbeitung beteiligte Personal beschränkt, wobei das “Need-to-Know”-Prinzip (Kenntnisnahme nur bei Erforderlichkeit) sowie die festgelegten Rollen und Verantwortlichkeiten der einzelnen Personen eingehalten werden.
Maßnahmen zur Rechenschaftspflicht
● Datenschutz-Folgenabschätzungen für Kunden sind bei der Einführung jedes neuen Produkts oder jeder neuen Dienstleistung erforderlich, die die Verarbeitung personenbezogener Daten beinhalten.
● Datenschutz-Folgenabschätzungen sind Teil jeder neuen Verarbeitungsinitiative.
Anträge auf Zugang zu personenbezogenen Daten
● Betroffene Personen haben das Recht, die Exportierung ihrer personenbezogenen Daten in einem branchenüblichen Format zu verlangen.
Es sind Prozesse vorhanden, die es Einzelpersonen ermöglichen, ihre Datenschutzrechte auszuüben (z. B. das Recht auf Löschung oder das Recht auf Datenübertragbarkeit), wie in der öffentlich zugänglichen Datenschutzrichtlinie von Couchbase beschrieben.
Couchbase wird auch weiterhin die jüngsten Leitlinien des Europäischen Datenschutzausschusses über zusätzliche Maßnahmen zur Erfüllung der Angemessenheitsanforderungen der Datenschutz-Grundverordnung (DSGVO) und alle anderen von den europäischen Datenschutzbehörden herausgegebenen Leitlinien analysieren, sobald diese vorliegen.
Anhang C
Übermittlung von Daten
Dieser Anhang legt die Bedingungen fest, die gelten, wenn die Nutzung des Cloud-Dienstes durch den Kunden einen Weiterleitungsmechanismus erfordert, um personenbezogene Daten aus einer Rechtsordnung rechtmäßig an Couchbase zu übertragen, die sich außerhalb dieser Rechtsordnung befindet.
1. UK Standardvertragsklauseln. Bei Datenübermittlungen aus dem Vereinigten Königreich, für die die Standardvertragsklauseln des Vereinigten Königreichs gelten, gelten die Standardvertragsklauseln des Vereinigten Königreichs als abgeschlossen (und werden durch Verweis in diese DSGVO aufgenommen) und werden wie folgt ergänzt:
a. Die britischen Standardvertragsklauseln für die Auftragsverarbeitung (UK Controller to Processor SCCs) finden Anwendung, wenn Couchbase Kundendaten verarbeitet. Die beispielhafte Freistellungsklausel findet keine Anwendung. Anlage A dient als Anhang 1 der britischen Standardvertragsklauseln für die Auftragsverarbeitung. Anlage B dient als Anhang 2 der britischen Standardvertragsklauseln für die Auftragsverarbeitung. Anlage D legt die Auslegung der jeweiligen Verpflichtungen aus bestimmten Klauseln der britischen Standardvertragsklauseln für die Auftragsverarbeitung durch Couchbase und den Kunden fest, soweit zutreffend.
b. Die UK Controller to Controller SCCs finden Anwendung, wenn Couchbase Nutzungsdaten übermittelt. In Klausel II(h) übermittelt Couchbase personenbezogene Daten in Übereinstimmung mit den in Anhang A der UK Controller to Controller SCCs festgelegten Datenverarbeitungsgrundsätzen. Die beispielhafte kommerzielle Klausel findet keine Anwendung. Anlage A dieses AVV dient als Anhang B der UK Controller to Controller SCCs.
2. Die Standardvertragsklauseln 2021. Für Datenübermittlungen, die der DSGVO und/oder dem schweizerischen DSG unterliegen, gelten die Standardvertragsklauseln von 2021 in der folgenden Weise:
a. Modul Eins (Controller to Controller) findet Anwendung, wenn der Kunde ein Controller der Nutzungsdaten ist und Couchbase ein Controller der Nutzungsdaten ist.
b. Modul Zwei (Controller to Processor) findet Anwendung, wenn der Kunde ein Controller der Kundendaten und Couchbase ein Prozessor der Kundendaten ist;
c. Modul drei (Verarbeiter zu Verarbeiter) findet Anwendung, wenn der Kunde ein Verarbeiter von Kundendaten und Couchbase ein Unterverarbeiter von Kundendaten ist;
d. Für jedes Modul, sofern zutreffend:
(i) In Klausel 7 wird die fakultative Andockklausel angewendet;
(ii) in Klausel 9 gilt Option 2, und die Frist für die vorherige Mitteilung von Änderungen des Unterauftragsverarbeiters richtet sich nach Abschnitt 3 (Unterauftragsverarbeitung) dieser DPA;
(iii) In Klausel 11 wird die fakultative Formulierung nicht angewendet;
(iv) in Klausel 17 (Option 1) unterliegen die Standardvertragsklauseln von 2021 dem Recht des EU-Mitgliedstaats, in dem der Datenexporteur niedergelassen ist, und, falls dies nicht der Fall ist, dem irischen Recht.
(v) in Klausel 18(b) werden Streitigkeiten vor den Gerichten des EU-Mitgliedstaates entschieden, in dem der Datenexporteur niedergelassen ist, und falls dies nicht der Fall ist, vor den Gerichten der Republik Irland.
(vi) In Anhang I, Teil A:
Datenexporter: Kunde und autorisierte Tochtergesellschaften des Kunden.
Kontaktinformationen: Die E-Mail-Adresse(n) des Kunden, die als das relevante Konto für den Empfang von Mitteilungen im Rahmen des Cloud-Dienstes angegeben wurde(n)
Rolle des Datenexporteurs: Der Kunde ist der für die Verarbeitung Verantwortliche bzw. der Verarbeiter der Kundendaten und der für die Nutzungsdaten Verantwortliche.
Unterschrift & Datum: Mit dem Abschluss des Abkommens wird davon ausgegangen, dass der Datenexporteur die hierin enthaltenen Standardvertragsklauseln einschließlich ihrer Anhänge zum Zeitpunkt des Inkrafttretens des Abkommens unterzeichnet hat.
Datenimporteur: Couchbase, Inc.
Kontaktinformationen: Couchbase Legal Team - legal@couchbase.com
Rolle des Datenimporteurs: Couchbase ist der Verarbeiter oder Unterverarbeiter von Kundendaten und der Verantwortliche für die Nutzungsdaten.
Unterschrift & Datum: Durch den Abschluss des Abkommens wird davon ausgegangen, dass der Datenimporteur diese hierin aufgenommenen Standardvertragsklauseln einschließlich ihrer Anhänge zum Zeitpunkt des Inkrafttretens des Abkommens unterzeichnet hat.
(vii) In Anhang I Teil B:
Die Kategorien der betroffenen Personen sind in Anhang A dieser Datenschutzrichtlinie beschrieben.
Die übermittelten sensiblen Daten sind in Anhang A dieser Datenschutzrichtlinie beschrieben.
Die Häufigkeit der Übermittlung erfolgt kontinuierlich während der Laufzeit des Abkommens.
Die Art der Verarbeitung ist in Anhang A dieser Datenschutzrichtlinie beschrieben.
Der Zweck der Verarbeitung ist in Anhang A dieser Datenschutzrichtlinie beschrieben.
Der Zeitraum der Verarbeitung ist in Anhang A dieser Datenschutzrichtlinie beschrieben.
Für die Übermittlung an Unterauftragsverarbeiter sind Gegenstand, Art und Dauer der Verarbeitung unter https://info.couchbase.com/cloud-subprocessors.html
(viii) In Anhang I Teil C: Die Aufsichtsbehörde des in Abschnitt 3 Buchstabe d Ziffer iv genannten EU-Mitgliedstaates fungiert als zuständige Aufsichtsbehörde.
(ix) Schema 2 dient als Anhang II der Standardvertragsklauseln.
4. Widersprüchliche Begriffe. Im Falle eines Widerspruchs zwischen den Standardvertragsklauseln und anderen Bestimmungen dieser DPA haben die Bestimmungen der Standardvertragsklauseln Vorrang.
Anhang D
In diesem Anhang wird dargelegt, wie die Parteien ihre jeweiligen Verpflichtungen aus den nachstehend aufgeführten Klauseln der SCCs zwischen dem für die Verarbeitung Verantwortlichen und dem Auftragsverarbeiter im Vereinigten Königreich (auch als ’Klauseln" bezeichnet) auslegen. Hält sich eine Partei an die in diesem Anhang dargelegten Auslegungen, so geht die andere Partei davon aus, dass sie ihre Verpflichtungen aus den Klauseln erfüllt hat.
Für die Zwecke dieses Anhangs bedeutet “DPA” das zwischen dem Datenimporteur und dem Datenexporteur bestehende Datenverarbeitungs-Addendum, in das diese Klauseln aufgenommen werden, und “Abkommen” hat die Bedeutung, die ihm in dem DPA gegeben wird.
Klausel 4(h) und 8: Offenlegung dieser Klauseln
1. Der Datenexporteur erklärt sich damit einverstanden, dass diese Klauseln vertrauliche Informationen des Datenimporteurs gemäß der Definition dieses Begriffs in der Vereinbarung darstellen und vom Datenexporteur ohne vorherige schriftliche Zustimmung des Datenimporteurs nicht an Dritte weitergegeben werden dürfen, es sei denn, dies ist gemäß der Vereinbarung zulässig. Dies steht einer Offenlegung dieser Klauseln gegenüber einer betroffenen Person gemäß Klausel 4 Buchstabe h) oder einer Aufsichtsbehörde gemäß Klausel 8 nicht entgegen.
Klausel 5(a): Aussetzung der Datenübermittlung und Kündigung:
1. Die Parteien erkennen an, dass der Datenimporteur die personenbezogenen Daten nur im Auftrag des Datenexporteurs und gemäß dessen Anweisungen, wie sie vom Datenexporteur erteilt wurden, sowie gemäß den Klauseln verarbeiten darf.
2. Die Parteien erkennen an, dass der Datenimporteur den Datenexporteur unverzüglich darüber informiert, wenn er aus irgendeinem Grund nicht in der Lage ist, diese Anforderungen zu erfüllen; in diesem Fall ist der Datenexporteur berechtigt, die Datenübermittlung auszusetzen und/oder den Vertrag zu kündigen.
3. Beabsichtigt der Datenexporteur, die Übermittlung personenbezogener Daten auszusetzen und/oder diese Klauseln zu kündigen, so ist er bestrebt, den Datenimporteur davon in Kenntnis zu setzen und ihm eine angemessene Frist einzuräumen, um die Nichteinhaltung zu beheben (“Aushärtungszeit").
4. Hat der Datenimporteur nach Ablauf der Behebungsfrist die Nichteinhaltung nicht behoben oder kann er sie nicht beheben, kann der Datenexporteur die Übermittlung personenbezogener Daten unverzüglich aussetzen oder beenden. Der Datenexporteur ist nicht verpflichtet, eine solche Mitteilung zu machen, wenn er der Auffassung ist, dass ein erhebliches Risiko für die betroffenen Personen oder ihre personenbezogenen Daten besteht.
Klausel 5(f): Prüfung:
1. Der Datenexporteur erkennt an und erklärt sich damit einverstanden, dass er sein Audit-Recht gemäß Klausel 5 Buchstabe f ausübt, indem er den Datenimporteur anweist, die in Abschnitt 4 (Sicherheit und Audits) der DSGVO beschriebenen Audit-Maßnahmen einzuhalten.
Klausel 5(j): Offenlegung von Vereinbarungen mit Unterauftragsverarbeitern
1. Die Parteien erkennen die Verpflichtung des Datenimporteurs an, dem Datenexporteur unverzüglich eine Kopie der von ihm gemäß den Klauseln abgeschlossenen Vereinbarung über die Weiterverarbeitung zu übermitteln.
2. Die Parteien erkennen ferner an, dass es dem Datenimporteur aufgrund von Beschränkungen der Vertraulichkeit von Unterauftragsverarbeitern untersagt sein kann, dem Datenexporteur Vereinbarungen mit Unterauftragsverarbeitern offen zu legen. Dessen ungeachtet bemüht sich der Datenimporteur in angemessener Weise, von jedem von ihm beauftragten Unterauftragsverarbeiter zu verlangen, dass er dem Datenexporteur die Offenlegung der Unterauftragsverarbeitungs-Vereinbarung gestattet.
3. Selbst wenn der Datenimporteur dem Datenexporteur eine Unterverarbeitungsvereinbarung nicht offenlegen kann, vereinbaren die Parteien, dass der Datenimporteur auf Anfrage des Datenexporteurs (auf vertraulicher Basis) dem Datenexporteur alle Informationen zur Verfügung stellt, die er im Zusammenhang mit einer solchen Unterverarbeitungsvereinbarung vernünftigerweise erhalten kann.
Klausel 6: Haftung
1. Alle Ansprüche, die aufgrund dieser Klauseln geltend gemacht werden, unterliegen den Bestimmungen und Bedingungen, einschließlich, aber nicht beschränkt auf die Ausschlüsse und Beschränkungen, die in der Vereinbarung festgelegt sind. In keinem Fall darf eine Partei ihre Haftung in Bezug auf die Rechte der betroffenen Person gemäß diesen Klauseln einschränken.
Klausel 11: Weitergehende Unterverarbeitungen
1. Die Parteien erkennen an, dass der Datenexporteur gemäß FAQ II.1 des Papiers WP 176 der Artikel-29-Datenschutzgruppe mit dem Titel “FAQs zur Klärung einiger Fragen, die durch das Inkrafttreten des Beschlusses 2010/87/EU der EU-Kommission vom 5. Februar 2010 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern gemäß der Richtlinie 95/46/EG aufgeworfen wurden” eine allgemeine Zustimmung zur Weiterverarbeitung durch den Datenimporteur erteilen kann.
2. Dementsprechend erteilt der Datenexporteur dem Datenimporteur gemäß Klausel 11 dieser Klauseln eine allgemeine Einwilligung zur Beauftragung von Unterauftragsverarbeitern. Diese Zustimmung ist an die Bedingung geknüpft, dass der Datenimporteur die in Abschnitt 8(a) des DSG festgelegten Anforderungen erfüllt.