Couchbase Capella Cloud Kundendatenverarbeitung Addendum

Dieses Addendum zur Datenverarbeitung (dieses "DPA") ist Teil des Capella Master Service Agreement oder einer anderen Vereinbarung zwischen dem Kunden und Couchbase, die die Nutzung des Cloud Service durch den Kunden regelt ("Vereinbarung"), zwischen Couchbase, Inc. ("Couchbase”) und die als “Kunde” in der Vereinbarung (“Kunde”) (jeder ein “Party" und zusammen die "Parteien”Das Inkrafttreten dieses DPA ist das Inkrafttreten der Vereinbarung oder, falls separat unterzeichnet, das Datum der letzten Unterschrift dieses DPA (“Datum des Inkrafttretens").

Diese DPA beschreibt die Verpflichtungen der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten im Zusammenhang mit der Nutzung des Cloud-Dienstes durch den Kunden. Alle in dieser DPA nicht definierten Begriffe, die groß geschrieben sind, haben die im Vertrag festgelegte Bedeutung.

Dieses Abkommen wurde zuletzt aktualisiert am 7. Mai 2024.

Die Vertragsparteien kommen wie folgt überein:

1. Definitionen. Die folgenden in Großbuchstaben geschriebenen Begriffe haben, wenn sie in dieser DPA verwendet werden, die unten angegebene Bedeutung:

1. "Geltende Datenschutzgesetze” bezeichnet alle weltweiten Datenschutzgesetze, Vorschriften, Regeln, Verordnungen und sonstigen Erlasse, die auf die personenbezogenen Daten anwendbar sind, einschließlich (aber nicht beschränkt auf): (i) europäische Datenschutzgesetze; und (ii) alle Gesetze und Vorschriften der Vereinigten Staaten, einschließlich des California Consumer Privacy Act von 2018 (California Civil Code §§ 1798.100 et seq ("CCPA"), die gegebenenfalls geändert, ersetzt oder überholt werden.

2. “KundendatenDer Begriff "personenbezogene Daten" bezeichnet alle personenbezogenen Daten, die von Couchbase im Auftrag des Kunden als Dienstleister oder Auftragsverarbeiter (je nach Fall) in Verbindung mit dem Cloud-Service verarbeitet werden, wie in Anhang A dieser DSGVO näher beschrieben.

3. "EEA"sind die Mitgliedstaaten der Europäischen Union sowie Island, Liechtenstein und Norwegen.

4. “Europäische Datenschutzgesetze”i) die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) (“GDPR"); (ii) Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation ("Datenschutzrichtlinie für elektronische Kommunikation (e-Privacy)"); (iii) alle anwendbaren nationalen Umsetzungen von (i) und (ii); (iv) das Schweizerische Bundesgesetz über den Datenschutz vom 19. Juni 1992 und seine Verordnung ("Schweizer EDA”und (v) in Bezug auf das Vereinigte Königreich, den Data Protection Act 2018 und alle anwendbaren nationalen Gesetze, die die DSGVO, die e-Privacy-Richtlinie oder andere Gesetze in Bezug auf Daten und Datenschutz als Folge des Austritts des Vereinigten Königreichs aus der Europäischen Union ersetzen oder in nationales Recht umwandeln (zusammenfassend “UK-Datenschutzgesetze"), die jeweils geändert, ersetzt oder ausgetauscht werden können.

5. “Muster-Klauseln”bedeutet, abhängig von den spezifischen Umständen des Kunden, einer der folgenden Punkte: (i) die Standardvertragsklauseln für Auftragsverarbeiter, wie sie von der Europäischen Kommission mit Beschluss 2021/914 genehmigt wurden (die “2021 Standardvertragsklauseln”), und (ii) das UK International Data Transfer Addendum zu den Standardvertragsklauseln der EU-Kommission, Version B1.0, in Kraft ab 21. März 2022, (“UK IDTA"), jeweils alternativ als Standardvertragsklauseln bezeichnet, durch Verweis einbezogen und Teil dieser DPA.

6. "Persönliche Daten"ist jede Information, die sich auf eine identifizierte oder identifizierbare natürliche Person bezieht und die nach den geltenden Datenschutzgesetzen als "personenbezogene Daten", "persönliche Informationen" oder "persönlich identifizierbare Informationen" geschützt ist.

7. "Sicherheitsvorfall”Sicherheitsvorfall“ bezeichnet jede Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Änderung, zur unbefugten Offenlegung von oder zum Zugriff auf Kundendaten führt, die von Couchbase und/oder seinen Unterauftragsverarbeitern in Verbindung mit der Bereitstellung des Cloud-Dienstes übertragen, gespeichert oder anderweitig verarbeitet werden. Die Parteien erkennen an und vereinbaren, dass ”Sicherheitsvorfall" keine erfolglosen Versuche oder Aktivitäten umfasst, die die Sicherheit der Kundendaten nicht gefährden, einschließlich erfolgloser Anmeldeversuche, Pings, Port-Scans, Denial-of-Service-Angriffe und andere Netzwerkangriffe auf Firewalls oder vernetzte Systeme.

8. “Sub-Prozessor”Unterverarbeiter" bezeichnet jeden von Couchbase oder seinen verbundenen Unternehmen beauftragten Auftragsverarbeiter, der Couchbase bei der Erfüllung seiner Verpflichtungen in Bezug auf die Bereitstellung des Cloud-Dienstes gemäß der Vereinbarung oder dieser DPA unterstützt. Zu den Unterauftragsverarbeitern können Dritte oder verbundene Unternehmen von Couchbase gehören, nicht jedoch Mitarbeiter, Auftragnehmer oder Berater von Couchbase.

9. Die Begriffe “Controller", "Prozessor" und "Verarbeitung"haben die Bedeutung, die ihnen in der Datenschutz-Grundverordnung zugewiesen wird, und "Prozess", "Prozesse" und "verarbeitet" sind entsprechend auszulegen; und die Begriffe "Unternehmen", "Dienstanbieter" und "verkaufen" haben die Bedeutung, die ihnen im CCPA zugewiesen wird.

2. Rolle und Umfang der Verarbeitung

1. Umfang. Vorbehaltlich Abschnitt 2(b) gilt diese DPA in dem Umfang, in dem Couchbase als Auftragsverarbeiter oder Dienstleister (je nach Fall) Kundendaten verarbeitet, die durch geltende Datenschutzgesetze geschützt sind.

2. Die Rolle der Parteien. Die Parteien erkennen an und stimmen zu, dass der Kunde das relevante Unternehmen, der Controller oder Auftragsverarbeiter (je nach Fall) der Kundendaten ist und Couchbase ein Dienstleister, Auftragsverarbeiter oder Unterauftragsverarbeiter (je nach Fall) im Auftrag des Kunden ist, wie in Anhang A dieser DPA weiter beschrieben. Zur Klarstellung erkennen die Parteien an, dass Couchbase das relevante Unternehmen oder der Controller in Bezug auf andere personenbezogene Daten sein kann, wie z. B. personenbezogene Daten, die in technischen Nutzungsdaten enthalten sind, die Couchbase im Zusammenhang mit dem Cloud-Dienst sammelt. Jede Partei wird alle für sie geltenden und bindenden Gesetze, Regeln und Vorschriften bei der Erfüllung dieser DPA einhalten, einschließlich aller geltenden Datenschutzgesetze.

3. Couchbase verarbeitet personenbezogene Daten. Couchbase stimmt zu, dass es Kundendaten nur für die in dieser DPA beschriebenen Zwecke und gemäß den dokumentierten rechtmäßigen Anweisungen des Kunden verarbeitet. Die Parteien vereinbaren, dass die Vereinbarung (einschließlich dieser DPA) die vollständigen und endgültigen Anweisungen des Kunden an Couchbase in Bezug auf die Verarbeitung von Kundendaten darstellt und dass eine Verarbeitung außerhalb des Geltungsbereichs dieser Anweisungen (falls vorhanden) eine vorherige schriftliche Vereinbarung zwischen dem Kunden und Couchbase erfordert. Unbeschadet von Abschnitt 2 (d) (Kundenverantwortlichkeiten) wird Couchbase den Kunden schriftlich benachrichtigen, es sei denn, dies ist nach geltendem Datenschutzrecht untersagt, und kann die Verarbeitung von Kundendaten aussetzen, wenn es Kenntnis davon erlangt oder glaubt, dass eine Datenverarbeitungsanweisung des Kunden gegen geltendes Datenschutzrecht verstößt.

4. Verantwortlichkeiten des Kunden. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung von Kundendaten im Rahmen der Vereinbarung verantwortlich. Der Kunde sichert zu und gewährleistet, dass (i) er alle gemäß den geltenden Datenschutzgesetzen erforderlichen Mitteilungen gemacht hat und machen wird, sowie alle erforderlichen Einwilligungen, Erlaubnisse und Rechte für Couchbase eingeholt hat und weiterhin einholt, um Kundendaten rechtmäßig für die Zwecke der Vereinbarung (einschließlich dieses DPA) zu verarbeiten; (ii) er als Controller und/oder Business alle geltenden Datenschutzgesetze in Bezug auf Kundendaten für die Erhebung und Bereitstellung solcher Kundendaten an Couchbase und seine Sub-Prozessoren eingehalten hat; und (iii) er sicherstellt, dass seine Verarbeitungsanweisungen den geltenden Gesetzen (einschließlich der geltenden Datenschutzgesetze) entsprechen und dass die Verarbeitung von Kundendaten durch Couchbase gemäß den Anweisungen des Kunden Couchbase nicht gegen die geltenden Datenschutzgesetze verstößt.

5. Aggregierte Daten. Zur Klarstellung erkennt der Kunde an, dass Couchbase und seine verbundenen Unternehmen das Recht haben, anonymisierte, aggregierte und/oder de-identifizierte Daten (wie in den geltenden Datenschutzgesetzen definiert) für ihre eigenen legitimen Geschäftszwecke zu sammeln und zu erstellen.

3. Weiterverarbeitung

1. Zugelassene Unterauftragsverarbeiter. Der Kunde erkennt an und stimmt zu, dass Couchbase Unterauftragnehmer beauftragen kann, Kundendaten im Namen des Kunden zu verarbeiten. Die von Couchbase derzeit beauftragten und vom Kunden autorisierten Unterauftragnehmer sind auf der Couchbase-Website aufgeführt (derzeit zu finden unter https://info.couchbase.com/cloud-subprocessors.html. Mindestens fünfzehn (15) Tage vor jeder Hinzufügung eines neuen Unterauftragnehmers aktualisiert Couchbase die entsprechende Website und informiert den Kunden über diese Aktualisierung über den auf der Couchbase-Website vorgesehenen Mechanismus, mit der Ausnahme, dass Couchbase, wenn Couchbase vernünftigerweise davon ausgeht, dass die Beauftragung eines neuen Unterauftragnehmers auf beschleunigtem Wege notwendig ist, um die Vertraulichkeit, Integrität oder Verfügbarkeit der Kundendaten zu schützen oder eine wesentliche Störung des Cloud-Dienstes zu vermeiden, stattdessen eine solche Benachrichtigung so bald wie vernünftigerweise möglich gibt.

2. Verpflichtungen des Unterauftragsverarbeiters. Soweit nach geltendem Datenschutzrecht erforderlich, wird Couchbase: (i) mit jedem Unterauftragnehmer eine schriftliche Vereinbarung abschließen, die Datenschutzbestimmungen auferlegt, die die Kundendaten nicht weniger schützen als die Verpflichtungen von Couchbase gemäß dieser DPA, soweit sie für die von jedem Unterauftragnehmer erbrachten Dienstleistungen gelten; und (ii) für seine Einhaltung der Verpflichtungen dieser DPA und für alle Handlungen oder Unterlassungen des Unterauftragnehmers, die dazu führen, dass Couchbase gegen eine seiner Verpflichtungen aus dieser DPA verstößt, weiterhin verantwortlich bleiben.

3. Einwände gegen Unterauftragsverarbeiter. Der Kunde kann der Ernennung eines neuen Subprozessors durch Couchbase aus berechtigten Gründen im Zusammenhang mit dem Datenschutz schriftlich widersprechen, indem er Couchbase unverzüglich schriftlich innerhalb von zehn (10) Kalendertagen nach Erhalt der Benachrichtigung von Couchbase gemäß Abschnitt 3(a) oben benachrichtigt. Eine solche Mitteilung muss die berechtigten Gründe für den Widerspruch erläutern, und die Parteien werden diese Bedenken nach Treu und Glauben erörtern, um eine geschäftlich angemessene Lösung zu erzielen. Wenn keine solche Lösung erzielt werden kann, wird Couchbase nach eigenem Ermessen entweder keinen solchen Subprozessor ernennen oder dem Kunden gestatten, den betroffenen Teil des Cloud-Dienstes gemäß den Kündigungsbestimmungen in der Vereinbarung auszusetzen oder zu beenden. Couchbase erstattet dem Kunden alle im Voraus bezahlten, ungenutzten Gebühren für den betroffenen Teil des Cloud-Dienstes nach dem Wirksamkeitsdatum der Kündigung. Sofern kein Widerspruch gemäß Abschnitt 3(c) eingelegt wird, stimmt der Kunde der Verwendung von Subprozessoren durch Couchbase gemäß dieser DPA zu.

4. Sicherheit und Audits

1. Sicherheitsmaßnahmen. Couchbase wird angemessene technische und organisatorische Sicherheitsmaßnahmen implementieren und aufrechterhalten, die darauf ausgelegt sind, die Kontrolle über die Kundendaten vor Sicherheitsvorfällen zu schützen und die Sicherheit und Vertraulichkeit der Kundendaten zu wahren, unter Berücksichtigung des Stands der Technik und bewährter Branchenpraktiken, der Kosten der Implementierung sowie der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung (“Sicherheitsmaßnahmen"). Diese Sicherheitsmaßnahmen umfassen mindestens die in Anhang B dieser DPA beschriebenen Maßnahmen. Couchbase stellt sicher, dass jede Person, die von Couchbase ermächtigt ist, Kundendaten im Rahmen dieser DPA zu verarbeiten, einer angemessenen Vertraulichkeitsverpflichtung unterliegt (sei es eine vertragliche oder gesetzliche Verpflichtung).

2. Aktualisierungen der Sicherheitsmaßnahmen. Der Kunde erkennt an, dass die Sicherheitsmaßnahmen dem technischen Fortschritt und der Entwicklung unterliegen und dass Couchbase die Sicherheitsmaßnahmen von Zeit zu Zeit aktualisieren oder ändern kann, vorausgesetzt, dass solche Aktualisierungen und Änderungen nicht zu einer Verschlechterung der Gesamtsicherheit des vom Kunden erworbenen Cloud Service führen.

3. Verantwortlichkeiten für die Sicherheit des Kunden. Der Kunde wird geeignete technische und organisatorische Sicherheitsmaßnahmen implementieren und aufrechterhalten, die darauf ausgelegt sind, vor Sicherheitsvorfällen zu schützen und die Sicherheit und Vertraulichkeit der vom Kunden kontrollierten Kundendaten zu wahren. Der Kunde ist verantwortlich für (i) den Schutz der Sicherheit aller Kundenanmeldeinformationen, die für den Zugriff auf den Cloud-Dienst verwendet werden; (ii) die Sicherung der Kunden-Cloud-Umgebung und aller Kundensysteme (mit solchen Schritten, die, ohne darauf beschränkt zu sein, die regelmäßige Rotation von Zugriffsschlüsseln und andere branchenübliche Schritte zur Verhinderung unbefugten Zugriffs beinhalten); (iii) die Sicherung durch Backups und die Absicherung von Kundendaten, die unter der Kontrolle des Kunden in der Kunden-Cloud-Umgebung oder einem anderen vom Kunden kontrollierten System stehen; und (iv) die Überprüfung der von Couchbase bereitgestellten Informationen in Bezug auf Datensicherheit und Datenschutz und die unabhängige Feststellung, ob der Cloud-Dienst die Anforderungen und rechtlichen Verpflichtungen des Kunden gemäß dem anwendbaren Datenschutzgesetz erfüllt.

4. Reaktion auf Sicherheitsvorfälle. Soweit nach den anwendbaren Datenschutzgesetzen erforderlich, wird Couchbase den Kunden nach Bekanntwerden eines Sicherheitsvorfalls unverzüglich über die Cloud-Dienste informieren und Folgendes tun: (i) rechtzeitige Informationen im Zusammenhang mit dem Sicherheitsvorfall in die Mitteilung an den Kunden aufnehmen, sobald diese bekannt werden, und zwar so, wie es der Kunde vernünftigerweise verlangt, um den Kunden bei jeglichen erforderlichen Meldungen von Datenschutzverletzungen gemäß den anwendbaren Datenschutzgesetzen zu unterstützen, unter Berücksichtigung der Art des Cloud-Dienstes, der Couchbase zur Verfügung stehenden Informationen und etwaiger Einschränkungen bei der Offenlegung von Informationen, wie z. B. Vertraulichkeitsverpflichtungen; und (ii) umgehend Schritte unternehmen, die von Couchbase als notwendig und angemessen erachtet werden, um einen Sicherheitsvorfall einzudämmen, zu untersuchen und zu beheben, soweit die Behebung im vernünftigerweise zumutbaren Einflussbereich von Couchbase liegt. Die Benachrichtigung oder Reaktion von Couchbase auf einen Sicherheitsvorfall gemäß diesem Abschnitt 4(d) darf nicht als Anerkennung einer Schuld oder Haftung von Couchbase in Bezug auf den Sicherheitsvorfall ausgelegt werden. Die hier dargelegten Verpflichtungen gelten nicht für Sicherheitsvorfälle, soweit diese durch den Kunden oder seine autorisierten Benutzer verursacht werden.

5. Sicherheitsprüfungen. Couchbase antwortet (auf vertraulicher Basis) auf alle angemessenen schriftlichen Informationsanfragen des Kunden in Bezug auf die Verarbeitung von Kundendaten durch Couchbase, einschließlich Antworten auf Fragebögen zur Informationssicherheit und Prüfung, die erforderlich sind, um die Einhaltung dieser DSGVO durch Couchbase zu bestätigen, vorausgesetzt, der Kunde macht von diesem Recht nicht mehr als einmal in einem rollierenden Zeitraum von zwölf (12) Monaten Gebrauch. Ungeachtet des Vorstehenden kann der Kunde dieses Prüfrecht auch ausüben, wenn er ausdrücklich aufgefordert wird oder verpflichtet ist, diese Informationen einer Datenschutzbehörde zur Verfügung zu stellen, oder wenn Couchbase einen Sicherheitsvorfall erlebt hat, oder auf einer anderen angemessenen ähnlichen Grundlage.

5. Internationale Überweisungen

1. Bearbeitungsorte. Der Cloud-Dienst ist so konzipiert, dass der Kunde die Cloud-Umgebung und die geografische Region bestimmen kann, in der die Datenbankinstanz(en) des Kunden bereitgestellt werden, wie in der Dokumentation weiter beschrieben. Der Kunde erkennt an und stimmt zu, dass Couchbase im Rahmen der Bereitstellung eines verwalteten Cloud-Dienstes Kundendaten an Standorte übertragen darf, an denen Couchbase, seine verbundenen Unternehmen oder seine Subunternehmer Datenverarbeitungsbetriebe unterhalten. Couchbase stellt jederzeit sicher, dass solche Übertragungen in Übereinstimmung mit den Anforderungen der geltenden Datenschutzgesetze und dieser DPA erfolgen.

6. Übertragungsmechanismen.

1. Datenschutzrahmenwerk. Couchbase nimmt am EU-US Data Privacy Framework, der britischen Erweiterung des EU-US Data Privacy Framework und dem Swiss-US Data Privacy Framework (zusammenfassend als “Data Privacy Framework” bezeichnet) teil und zertifiziert dessen Einhaltung. Wie vom Data Privacy Framework gefordert, wird Couchbase (i) Kundendaten mindestens auf dem gleichen Datenschutzniveau schützen, das von den Grundsätzen und ergänzenden Grundsätzen des jeweiligen Data Privacy Framework (“Grundsätze”) gefordert wird, (ii) den Kunden benachrichtigen, wenn Couchbase feststellt, dass sie ihre Verpflichtung, das gleiche Schutzniveau wie vom Data Privacy Framework, einschließlich der Grundsätze, gefordert, nicht mehr erfüllen kann, und (iii) nach Benachrichtigung angemessene und geeignete Schritte zur Behebung unbefugter Verarbeitung von Kundendaten unternehmen.

2. Übertragungen, die unter europäische Datenschutzgesetze fallen. Soweit Couchbase personenbezogene Daten, die nach europäischen Datenschutzgesetzen geschützt sind, in einem Drittland verarbeitet (oder verarbeiten lässt), das keinen Angemessenheitsschutz für personenbezogene Daten bietet (wie in den europäischen Datenschutzgesetzen beschrieben), gelten die Bedingungen von Anhang C (Datentransfers), und der Kunde (als Datenexporteur) gilt als die auf den Musterklauseln basierenden Verträge mit Couchbase (als Datenimporteur) eingegangen, und Couchbase stimmt zu, diese Kundendaten in Übereinstimmung mit den Musterklauseln einzuhalten und zu verarbeiten, die vollständig durch Verweis eingearbeitet sind und einen integralen Bestandteil dieser DPA bilden. Für die Zwecke der Beschreibungen in den Musterklauseln: (A) erklärt sich Couchbase damit einverstanden, dass es ein “Datenimporteur” ist und der Kunde der “Datenexporteur” ist (unbeschadet der Tatsache, dass der Kunde selbst eine außerhalb des EWR oder des Vereinigten Königreichs ansässige juristische Person sein kann); (B) ersetzen Anhang A und Anhang B dieser DPA Anhang 1 und Anhang 2 der Musterklauseln. Es ist weder die Absicht einer Partei noch die Auswirkung dieser DPA, Bestimmungen der Musterklauseln zu widersprechen oder einzuschränken. Falls und soweit die Musterklauseln mit einer Bestimmung dieser DPA in Konflikt stehen, haben die Musterklauseln insoweit Vorrang wie der Konflikt besteht. Die Musterklauseln gelten nicht für Kundendaten, die weder direkt noch durch Weiterleitung außerhalb des EWR oder des Vereinigten Königreichs übertragen werden. Falls und soweit Couchbase eine alternative Datenexportlösung für die Übertragung von Kundendaten gemäß den geltenden europäischen Datenschutzgesetzen (“Alternative Transfer Mechanism“) einführt, gilt der Alternative Transfer Mechanism stattdessen (aber nur insoweit, als dieser Alternative Transfer Mechanism für die Übertragung gilt).

3. Zusätzliche Übertragungsanforderungen. Falls zu irgendeinem Zeitpunkt geltende Datenschutzgesetze weitere Schritte vorschreiben, die unternommen werden müssen, um die Übertragung von Kundendaten gemäß dieser DPA zu ermöglichen (einschließlich, aber nicht beschränkt auf die Ausführung oder erneute Ausführung der Standardvertragsklauseln von 2021 oder der UK IDTA als separates Dokument und/oder den Abschluss zusätzlicher grenzüberschreitender Übertragungsklauseln) und/oder die in dieser DPA genannten Übertragungsmechanismen gemäß geltendem Datenschutzrecht geändert, ersetzt, aufgehoben oder anderweitig beendet werden, werden der Kunde und Couchbase in gutem Glauben zusammenarbeiten, um alle Schritte zu unternehmen, die vernünftigerweise erforderlich sind, um eine Übertragung gemäß den geltenden Datenschutzgesetzen zu ermöglichen. Darüber hinaus wird Couchbase, soweit nach geltendem Datenschutzrecht erforderlich, auf vernünftigerweise angeforderte Informationen bezüglich der Verarbeitung personenbezogener Daten im Rahmen der Vereinbarung bereitstellen, damit der Kunde Datenschutz-Folgenabschätzungen oder vorherige Konsultationen mit Aufsichtsbehörden durchführen kann.

7. Löschung von Kundendaten

1. Der Cloud-Dienst stellt dem Kunden Steuerelemente zur Verfügung, die der Kunde während der Laufzeit zur Löschung oder zum Abruf von Kundendaten in einer Weise verwenden kann, die mit der Funktionalität des Cloud-Dienstes übereinstimmt.

2. Der Kunde ermächtigt Couchbase hiermit, bei Beendigung oder Ablauf der Vereinbarung oder im Falle einer Beendigung oder Aussetzung des Cloud Services gemäß der Vereinbarung, alle Kundendaten (einschließlich Kopien), die sich in seinem Besitz oder unter seiner Kontrolle befinden, gemäß der Vereinbarung zu löschen, mit der Ausnahme, dass diese Anforderung nicht gilt, soweit Couchbase gesetzlich verpflichtet ist, einige oder alle Kundendaten aufzubewahren.

8. Rechte von Einzelpersonen und Zusammenarbeit

1. Ersuchen der betroffenen Person. Der Cloud-Service stellt dem Kunden eine Reihe von Kontrollen, einschließlich Sicherheitsfunktionen und Funktionalitäten, zur Verfügung, die der Kunde zur Abfrage, Korrektur, Löschung oder Einschränkung von Kundendaten nutzen kann, wie in der für den Cloud-Service geltenden Dokumentation beschrieben. Unbeschadet von Abschnitt 4(a) kann der Kunde diese Kontrollen als technische und organisatorische Maßnahmen nutzen, um ihn bei der Erfüllung seiner Verpflichtungen gemäß den geltenden Datenschutzgesetzen zu unterstützen, einschließlich seiner Verpflichtungen im Zusammenhang mit der Beantwortung von Anfragen von betroffenen Personen. Soweit der Kunde nicht in der Lage ist, unabhängig auf die relevanten Kundendaten innerhalb des Cloud-Services zuzugreifen, wird Couchbase unter Berücksichtigung der Art der Verarbeitung angemessen kooperieren, um den Kunden bei der Beantwortung von Anfragen von Einzelpersonen oder zuständigen Datenschutzbehörden im Zusammenhang mit der Verarbeitung von Kundendaten gemäß der Vereinbarung zu unterstützen. Falls eine solche Anfrage, die den Kunden identifiziert, direkt an Couchbase gerichtet wird, wird Couchbase ohne vorherige Genehmigung des Kunden nicht direkt auf diese Kommunikation antworten, es sei denn, er ist gesetzlich dazu verpflichtet. Wenn Couchbase verpflichtet ist, auf eine solche Anfrage zu antworten, wird Couchbase den Kunden unverzüglich benachrichtigen und ihm eine Kopie der Anfrage zur Verfügung stellen, es sei denn, er ist gesetzlich daran gehindert.

2. Vorladungen und Gerichtsbeschlüsse. Wenn eine Strafverfolgungsbehörde Couchbase eine Forderung nach Kundendaten sendet (z.B. durch eine Vorladung oder einen Gerichtsbeschluss), wird Couchbase den Kunden in angemessener Weise von der Forderung in Kenntnis setzen, um dem Kunden die Möglichkeit zu geben, eine Schutzverfügung oder ein anderes geeignetes Rechtsmittel zu beantragen, es sei denn, Couchbase ist dies gesetzlich untersagt.

9. Länder- oder jurisdictionsspezifische Bedingungen

1. Kalifornien. Soweit die Kundendaten dem CCPA unterliegen, vereinbaren die Parteien, dass der Kunde ein Unternehmen ist und dass er Couchbase als seinen Dienstleister (im Sinne des CCPA) beauftragt, die Kundendaten gemäß den Bestimmungen des Vertrags (einschließlich dieser DPA) und des CCPA oder für anderweitig schriftlich vereinbarte Zwecke zu verarbeiten (zusammenfassend als “Zulässige Zwecke”。Kunde und Couchbase vereinbaren Folgendes: (i) Couchbase darf personenbezogene Daten nicht für andere Zwecke als die gestatteten Zwecke aufbewahren, verwenden oder offenlegen; (ii) Kundendaten wurden nicht an Couchbase verkauft und Couchbase wird personenbezogene Daten nicht “verkaufen” (wie im CCPA definiert); (iii) Couchbase darf personenbezogene Daten nicht außerhalb der direkten Geschäftsbeziehung zwischen Kunde und Couchbase aufbewahren, verwenden oder offenlegen; und (iv) Kundendaten nicht mit personenbezogenen Daten (wie im CCPA definiert) kombinieren, die Couchbase aus einer anderen Quelle erhalten hat, es sei denn, dies ist nach dem CCPA zulässig. Die Parteien vereinbaren, dass Couchbase personenbezogene Daten im Rahmen der Bereitstellung des Cloud-Dienstes de-identifizieren oder aggregieren darf. Couchbase bestätigt, dass es die in diesem Abschnitt 9 (a) festgelegten Beschränkungen versteht und einhalten wird. Couchbase wird den Kunden benachrichtigen, wenn es feststellt, dass es die Verpflichtungen nach diesem Abschnitt 9 (a) als Dienstleister im Sinne des CCPA nicht mehr erfüllen kann.

10. Haftungsbeschränkung

1. Die Haftung jeder Partei und aller ihrer verbundenen Unternehmen, zusammengenommen, die sich aus diesem DPA (einschließlich der Musterklauseln) ergibt oder damit zusammenhängt, sei es vertraglich, aus unerlaubter Handlung (einschließlich Fahrlässigkeit) oder unter einer anderen Haftungstheorie, unterliegt den Haftungsbeschränkungen und -ausschlüssen in der Vereinbarung, und jeder Verweis in Bestimmungen auf die Haftung einer Partei bedeutet die aggregierte Haftung dieser Partei und aller ihrer verbundenen Unternehmen im Rahmen und in Verbindung mit der Vereinbarung und diesem DPA zusammen.

2. Sofern die anwendbaren Datenschutzgesetze einen verbundenen Kunden nicht dazu verpflichten, ein Recht aus dieser DPA direkt und selbstständig gegenüber Couchbase auszuüben oder Abhilfe zu suchen, vereinbaren die Parteien, dass (i) ausschließlich die kundenseitige Partei, die Vertragspartei des Abkommens ist, im Namen ihrer verbundenen Unternehmen alle Rechte aus dieser DPA ausüben oder Abhilfe suchen wird, die ein verbundenes Unternehmen des Kunden haben könnte, und (ii) der Kunde, der Vertragspartei des Abkommens ist, alle diese Rechte aus dieser DPA nicht individuell für jedes verbundene Unternehmen, sondern gesammelt für alle seine verbundenen Unternehmen gemeinsam ausüben wird.

11. Sonstiges

1. Im Falle eines Konflikts zwischen dieser DPA und der Vereinbarung stimmen die Parteien zu, dass die Bestimmungen dieser DPA Vorrang haben, vorausgesetzt, dass im Falle und im Umfang eines Konflikts zwischen den Standardvertragsklauseln und anderen Bestimmungen in dieser DPA die Bestimmungen der Standardvertragsklauseln in Bezug auf die von den Standardvertragsklauseln geregelte Verarbeitung Vorrang haben. Darüber hinaus, wenn es einen Konflikt zwischen dieser DPA und einer zwischen den Parteien abgeschlossenen Business Associate Agreement (eine “BAA”), die Bestimmungen des BAA werden in Bezug auf alle PHI (wie in diesem BAA definiert) Vorrang haben.

2. Die Parteien vereinbaren, sich nach Treu und Glauben zu bemühen, Streitigkeiten, die sich aus oder im Zusammenhang mit dieser DPA ergeben, vor Beginn rechtlicher Schritte jeder Art und als Vorbedingung dafür beizulegen. Sämtliche Verhandlungen gemäß diesem Abschnitt 11(b) sind vertraulich und werden im Hinblick auf die anwendbaren Beweisregeln als Vergleichs- und Einigungsverhandlungen behandelt.

3. Mit Ausnahme der durch diese DPA vorgenommenen Änderungen bleibt die Vereinbarung unverändert und in vollem Umfang in Kraft und wirksam.

4. Diese DPA kann in mehreren Ausfertigungen unterzeichnet werden, von denen jede als Original gilt, die zusammen jedoch ein und dasselbe Dokument bilden.

5. Sollte eine Bestimmung oder ein Teil einer Bestimmung dieser DPA ungültig, rechtswidrig oder undurchsetzbar sein oder werden, so gilt diese als gestrichen, ohne dass dadurch die Gültigkeit und Durchsetzbarkeit der übrigen DPA beeinträchtigt wird.

6. Diese DPA unterliegt den Regelungen des geltenden Rechts und der Gerichtsbarkeit, die in der Vereinbarung festgelegt sind, sofern nicht die europäischen Datenschutzgesetze etwas anderes vorschreiben.

 

Anhang A
Datenverarbeitung Beschreibung

 

Dieser Anhang A ist Teil der DPA und beschreibt die Verarbeitung von Kundendaten durch Couchbase als Auftragsverarbeiter oder Unterauftragsverarbeiter im Namen des Kunden als für die Verarbeitung Verantwortlicher oder Auftragsverarbeiter, je nach Fall.
Kundendaten
Dauer
Die Dauer der Datenverarbeitung unter dieser DPA ist bis zur Beendigung der Vereinbarung in Übereinstimmung mit ihren Bedingungen plus dem Zeitraum vom Auslaufen der Vereinbarung bis zur Löschung der personenbezogenen Daten durch Couchbase in Übereinstimmung mit den Bedingungen der Vereinbarung (einschließlich dieser DPA).

Kategorien von Daten
Die zu verarbeitenden personenbezogenen Daten betreffen die folgenden Datenkategorien (bitte angeben):

• Persönliche Daten in Kundeninhalten oder Supportinhalten: Personenbezogene Daten, die in Inhalten oder Daten enthalten sind, die vom oder im Namen des Kunden oder autorisierten Nutzern durch oder über den Cloud-Service bereitgestellt werden.

Besondere Kategorien von Daten (falls zutreffend)
Die Parteien beabsichtigen nicht, im Rahmen des Abkommens Daten besonderer Kategorien zu verarbeiten.

Betroffene Personen
Die zu verarbeitenden personenbezogenen Daten betreffen die folgenden Kategorien von betroffenen Personen (bitte angeben):

• Zu den betroffenen Personen gehören Einzelpersonen, über die Daten von oder auf Anweisung des Kunden über den Cloud-Dienst an Couchbase bereitgestellt werden, einschließlich autorisierter Benutzer. Zu den betroffenen Personen können Kunden, Mitarbeiter, Lieferanten und Endbenutzer des Kunden gehören.

Verarbeitung der Vorgänge
Die personenbezogenen Daten werden den folgenden grundlegenden Verarbeitungstätigkeiten unterzogen (bitte angeben):

• Verarbeitung zur Bereitstellung des Cloud-Dienstes gemäß der Vereinbarung;

• Verarbeitung zur Durchführung aller notwendigen Schritte für die Erfüllung der Vereinbarung;

• Verarbeitung initiiert durch den Kunden bei dessen Nutzung des Cloud Services; und

• Verarbeitung zur Einhaltung anderer angemessener Anweisungen des Kunden (z. B. per E-Mail oder Support-Tickets), die mit den Bestimmungen dieser Vereinbarung übereinstimmen.

Frequenz
Die personenbezogenen Daten können fortlaufend übermittelt werden.

 

Anhang B
Sicherheitsmaßnahmen

 

Dieser Anhang beschreibt die Sicherheitsmaßnahmen von Couchbase. Der Kunde erkennt an, dass der Cloud-Dienst nach einem Modell der geteilten Verantwortung betrieben wird, das unter anderem erfordert, dass der Kunde bestimmte Schritte unternimmt, wie z. B. den Schutz der Sicherheit von Kundeninhalten (die in der Umgebung des Kunden unter der Kontrolle des Kunden gespeichert bleiben). Soweit und in dem Umfang, in dem Couchbase im Auftrag des Kunden Kundendaten im Zusammenhang mit dem Cloud-Dienst verarbeitet, wird Couchbase die folgenden Sicherheitsmaßnahmen implementieren und aufrechterhalten:

Maßnahmen zur Datenverschlüsselung

• Alle Kundendaten werden im Transit mit TLS 1.2 (oder höher) verschlüsselt und im Ruhezustand mit AES-256-Verschlüsselung verschlüsselt.

• Mitarbeiterlaptops sind mit einer Vollfestplattenverschlüsselung AES-256 verschlüsselt.

• Alle Anmeldeinformationen sind während der Übertragung mit TLS 1.2 (oder höher) verschlüsselt und im Ruhezustand verschlüsselt.

• Verschlüsselungsschlüssel werden jährlich rotiert und vom Kunden ausgewählten Cloud-Dienstanbieter gespeichert und verwaltet.

Maßnahmen zur Verfügbarkeit und Wiederherstellbarkeit

• Couchbase unterhält Pläne und Verfahren für die Notfallwiederherstellung und Geschäftskontinuität, die darauf ausgelegt sind, die Verfügbarkeit des Cloud-Dienstes angemessen sicherzustellen.

• Auf jährlicher Basis werden die Notfallwiederherstellungspläne der Capella-Steuerungsebene getestet, überprüft und bei Bedarf aktualisiert, um die von Couchbase festgelegten Service-Wiederherstellungszeit (RTO) und Datenwiederherstellungspunkt (RPO) zu erreichen.

• Das Couchbase Capella-Angebot wird in geografisch verteilten Rechenzentren bereitgestellt, die von Branchenführern im Bereich öffentlicher Cloud-Dienstanbieter wie Amazon (AWS), Microsoft (Azure) und Google (GCP) (je nach Bedarf) betrieben werden.

• Redundanz ist in die Systeminfrastruktur integriert, die das Couchbase Capella-Angebot unterstützt. Im Falle eines Ausfalls des primären Systems wird die redundante Infrastruktur in einer anderen Verfügbarkeitszone konfiguriert, um dessen Platz einzunehmen.

• Sicherungen werden in kontrollierten Umgebungen innerhalb der Cloud-Infrastruktur gespeichert. Der logische Zugriff auf Sicherungsdaten ist auf entsprechendes Personal beschränkt und die Daten werden in hochverfügbarem Speicher abgelegt.

• Auf jährlicher Basis wird ein Wiederherstellungstest von Backups durchgeführt, bei dem das Betriebspersonal ein Backup aus einem Snapshot wiederherstellt, um sicherzustellen, dass die Daten im Falle eines Vorfalls wiederhergestellt werden können.

Organisatorische Sicherheitsmaßnahmen

• Couchbase hat ein formelles Informationssicherheitsmanagementsystem (ISMS) etabliert, um die Vertraulichkeit, Integrität und Verfügbarkeit des Couchbase Capella-Angebots und der Informationssysteme zu schützen und die Wirksamkeit von Sicherheitskontrollen über Daten und Informationssysteme zu gewährleisten.

• Couchbase hat eine definierte Methodik zur Kategorisierung von Daten nach Sensitivitätsstufen, basierend auf der entsprechende technische und prozedurale Schutzmaßnahmen ausgewählt und implementiert werden.

• Mitarbeiter sind verpflichtet, Schulungen zu den Themen Korruptionsbekämpfung, Ethik und Verhaltenskodex, Insiderhandel, globales Datenschutzrecht und jährliche Security Awareness zu absolvieren.

• Mitarbeiter sind verpflichtet, bei der Einstellung Vertraulichkeits- und Geheimhaltungsvereinbarungen zu unterzeichnen.

• Es gibt formale Richtlinien und Verfahren für die Einstellung und Austritt von Mitarbeitern. Prozesse zur Kontobereitstellung und -entziehung sind definiert und werden umgesetzt.

• Der Mitarbeiterzugang wird bei Ausscheiden oder bedarfsweiser Anpassung aufgrund von Rollenwechseln entfernt.

• Multi-Faktor-Authentifizierung (MFA) ist für den Zugriff auf kritische und produktive Ressourcen zwingend erforderlich.

• Passwortkomplexitätsanforderungen werden erzwungen.

• Die Trennung von Verantwortlichkeiten und Aufgaben wird implementiert, um die Möglichkeiten für unbefugte oder unbeabsichtigte Änderungen oder Missbrauch zu reduzieren.

• Couchbase unterhält unterzeichnete Geheimhaltungsvereinbarungen mit Dritten.

• Couchbase-Netzwerke sind nach Vertrauensstufen getrennt und durch Firewalls geschützt.

• Couchbase hat einen definierten Prozess für die Identifizierung, Priorisierung und Behebung von Schwachstellen, einschließlich interner Tests und kontinuierlicher Scans.

Protokollierungs- und Überwachungsmaßnahmen

• Die Protokollierung von Benutzeraktivitäten, Ausnahmen, Fehlern und Informationssicherheitsereignissen ist aktiviert. Protokolle werden nach Bedarf aufbewahrt.

• Alle Protokolle können nur von autorisierten Couchbase-Mitarbeitern eingesehen werden und es sind Zugriffskontrollen vorhanden, um unbefugten Zugriff zu verhindern.

• Der Zugriff auf Protokolldaten ist strengstens untersagt. Protokollierungsfunktionen und Protokollinformationen sind durch Zugriffskontrollen und Sicherheitsmaßnahmen vor Manipulation und unbefugtem Zugriff geschützt.

• Couchbase verfügt über verschiedene Überwachungsmaßnahmen, um Sicherheitswarnungen zu generieren und unregelmäßige Aktivitäten zu erkennen.

• Das Betriebsteam von Couchbase Capella überprüft regelmäßig Sicherheitswarnungen und deren zugrunde liegende Konfiguration, um sicherzustellen, dass sie wie beabsichtigt funktionieren und dass Kontrollen bei sich ändernden Bedingungen angepasst werden.

• Couchbase verfügt über einen dokumentierten Plan für das Vorfallmanagement und die Reaktion auf Datenpannen, der Verfahren zur Erkennung, Untersuchung, Benachrichtigung und Behebung von Pannen umfasst.

• Couchbase beauftragt unabhängige Drittanbieter mit jährlichen Penetrationstests und behebt die Ergebnisse solcher Tests entsprechend intern definierten SLAs.

Maßnahmen zur Zugangskontrolle

• Couchbase implementiert bewährte Sicherheitspraktiken und verwendet eine rollenbasierte Sicherheitsarchitektur über die Datenbank-, Netzwerk- und Anwendungsebenen hinweg und folgt streng den Prinzipien des geringsten Privilegs bei der Gewährung des Zugriffs auf wichtige Systeme.

• Multi-Faktor-Authentifizierung (MFA) ist für den Zugriff auf kritische und produktive Ressourcen zwingend erforderlich.

• Passwortkomplexitätsanforderungen werden erzwungen.

• Couchbase hat Jobfunktionen und Rollen definiert, um eine ordnungsgemäße Aufgabentrennung zu unterstützen.

• Der Zugriff auf operative Umgebungen, Produktionsumgebungen und Umgebungen für die Notfallwiederherstellung wird durch die Verwendung eindeutiger Benutzerkonten, starker Passwörter, Multi-Faktor-Authentifizierung (MFA), rollenbasierter Zugriffe und des Prinzips der geringsten Rechte geschützt.

• Zugriffsschlüssel, die von Produktions-Couchbase-Anwendungen verwendet werden (z. B. AWS-Zugriffsschlüssel), sind nur autorisiertem Personal zugänglich. Sie werden nach Bedarf (z. B. gemäß einer Sicherheitsmitteilung oder dem Ausscheiden von Personal) und mindestens jährlich rotiert (geändert).

• Benutzeraktivitäten in operativen Umgebungen, einschließlich des Zugriffs, der Änderung oder Löschung von Daten, werden protokolliert.

• Anforderungs- und Bereitstellungsvorgänge zur Autorisierung werden protokolliert, nachverfolgt und geprüft.

• Neben netzwerkbasierten Firewalls werden Web Application Firewalls (WAF) eingesetzt.

• Die Steuerelemente für das mobile Gerätemanagement sind vorhanden.

Physische Sicherheitsmaßnahmen

• Das Couchbase Capella-Angebot wird in geografisch verteilten Rechenzentren bereitgestellt, die von Branchenführern im Bereich öffentlicher Cloud-Dienstanbieter wie Amazon (AWS), Microsoft (Azure) und Google (GCP) (je nach Bedarf) betrieben werden.

• Der physische Zugang zu allen Einrichtungen, die sensible Daten enthalten, ist eingeschränkt und wird verwaltet.

• Alle Informationsressourcen-Einrichtungen (z. B. Netzwerkverteiler und Lagerräume) sind proportional zur Kritikalität oder Wichtigkeit ihrer Funktion physisch geschützt.

• Der Zugang zu Informationsressourcen-Einrichtungen ist nur für Firmenpersonal und Auftragnehmer gestattet, deren Aufgaben eine solche Zugangsberechtigung erfordern.

• Alle Informationsressourceneinrichtungen, die Besuchern den Zugang gestatten, sind so konfiguriert, dass sie den Besucherzugang mit einem Anmeldeprotokoll erfassen.

• Karten-Zugangsprotokolle und Besucherlisten für Informationsressourceneinrichtungen werden für routinemäßige Überprüfungen basierend auf der Kritikalität der zu schützenden Informationsressourcen aufbewahrt.

• Die Ausrüstung ist geschützt, um die Risiken durch Umwelteinflüsse, Gefahren und Möglichkeiten für unbefugten Zugriff zu reduzieren.

Change-Management-Maßnahmen

• Couchbase hat eine Richtlinie und ein Verfahren zur Zugriffskontrolle und Änderungsverwaltung implementiert, um unbefugte Änderungen zu verhindern.

• Couchbase überwacht Änderungen an Systemen im Geltungsbereich, um sicherzustellen, dass der geltende Standardprozess befolgt wird, und um jedes Risiko unentdeckter Änderungen in der Produktion zu minimieren. Änderungen werden im Änderungsmanagement-System verfolgt.

Governance

• Couchbase hat ein formelles Informationssicherheitsmanagementsystem (ISMS) etabliert, um die Vertraulichkeit, Integrität und Verfügbarkeit des Couchbase Capella-Angebots und der Informationssysteme zu schützen und die Wirksamkeit von Sicherheitskontrollen über Daten und Informationssysteme zu gewährleisten.

• Couchbase verfügt über eine dokumentierte und genehmigte Informationssicherheitsrichtlinie, einschließlich unterstützender Dokumentation.

• Die Befugnis und Verantwortung für das Management des Informationssicherheitsprogramms von Couchbase wurde der Information Security and Compliance Group übertragen, die von der Geschäftsleitung ermächtigt ist, alle notwendigen Maßnahmen zur Einrichtung, Umsetzung und Verwaltung des Informationssicherheitsprogramms von Couchbase zu ergreifen.

• Dritten, die Dienstleistungen für Couchbase erbringen oder Zugang zu Systemen und Daten haben, werden vor der Aufnahme einer Zusammenarbeit risikobasierte Bewertungen unterzogen, und ihr Sicherheitsprogramm wird regelmäßig überprüft.

Einhaltung der Vorschriften

• Couchbase schließt jährliche Audits durch einen unabhängigen externen Auditor gemäß den Kontrollanforderungen von SOC 2 Type 2, HIPAA, CSA STAR und PCI-DSS ab, was unser Engagement für Kontrollen belegt, die die Vertraulichkeit und Verfügbarkeit von Informationen gewährleisten, die im Couchbase Capella-Dienst gespeichert und verarbeitet werden.

Minimaler Zugang zu Daten

• Datenübertragungs- und Freigaberichtlinien und -verfahren werden unter Berücksichtigung der geltenden Vorschriften festgelegt.

• Datenschutzprüfungen werden im Zusammenhang mit der Einführung neuer Produkte/Dienstleistungen und der Verarbeitung personenbezogener Daten durch Dritte durchgeführt.

• Die Datenerfassung beschränkt sich auf die Zwecke der Verarbeitung (oder auf die Daten, die der Kunde anzugeben wählt).

• Sicherheitsmaßnahmen sind vorhanden, um nur das absolut notwendige Minimum an Zugriff zu gewähren, der zur Erfüllung der erforderlichen Funktionen benötigt wird.

• Datenspeicherungsanforderungen werden identifiziert

• Der Zugriff auf personenbezogene Daten ist auf das mit der Verarbeitung befasste Personal beschränkt, das sich am Prinzip der Notwendigkeit der Kenntnis (“Need to Know”-Prinzip) orientiert und gemäß den definierten Rollen und Verantwortlichkeiten der Einzelpersonen handelt.

Anträge auf Zugang zu personenbezogenen Daten

• Es gibt Prozesse, die es Personen ermöglichen, ihre Datenschutzrechte (z. B. Recht auf Löschung oder Recht auf Datenübertragbarkeit) auszuüben, wie in der öffentlich zugänglichen Datenschutzerklärung von Couchbase beschrieben.

Couchbase wird auch weiterhin die jüngsten Leitlinien des Europäischen Datenschutzausschusses über zusätzliche Maßnahmen zur Erfüllung der Angemessenheitsanforderungen der Datenschutz-Grundverordnung (DSGVO) und alle anderen von den europäischen Datenschutzbehörden herausgegebenen Leitlinien analysieren, sobald diese vorliegen.

 

Anhang C
Übermittlung von Daten

 

Dieser Anhang legt die Bedingungen fest, die gelten, wenn die Nutzung des Cloud-Dienstes durch den Kunden einen Weiterleitungsmechanismus erfordert, um personenbezogene Daten aus einer Rechtsordnung rechtmäßig an Couchbase zu übertragen, die sich außerhalb dieser Rechtsordnung befindet.

1. Die Standardvertragsklauseln von 2021. Für personenbezogene Daten, die unter die DSGVO fallen, gelten die Standardvertragsklauseln von 2021 wie folgt:

1. Modul Zwei (Controller zu Prozessor) findet Anwendung, wenn der Kunde ein Controller von Kundendaten ist und Couchbase ein Prozessor von Kundendaten ist;
2. Modul Drei (Prozessor zu Prozessor) findet Anwendung, wenn der Kunde ein Verarbeiter von Kundendaten ist und Couchbase ein Unterverarbeiter von Kundendaten ist;
3. Für jedes Modul, wo zutreffend:

2. Datentransfers aus der Schweiz. Wo die Übermittlung von Personendaten dem Schweizer DSG unterliegt, gelten die Bestimmungen von Abschnitt 1 mit folgenden Änderungen:

1. Alle Verweise in den Standardvertragsklauseln auf die “Richtlinie 95/46/EG” oder die “Verordnung (EU) 2016/679” sind als Verweise auf das Schweizer DSG auszulegen;
2. Verweise auf “EU”, “Union”, “Mitgliedstaat” und “Recht eines Mitgliedstaates” sind gegebenenfalls als Verweise auf die Schweiz und Schweizer Recht auszulegen; und
3. Verweise auf die “zuständige Aufsichtsbehörde” und die “zuständigen Gerichte” sind als Verweise auf den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten sowie die zuständigen Gerichte in der Schweiz auszulegen.

3. Übermittlung von Daten aus dem Vereinigten Königreich. Beim Transfer personenbezogener Daten, der den britischen Datenschutzgesetzen unterliegt, erklären sich die Parteien damit einverstanden:

1. Die Bestimmungen des IDTA, einschließlich Teil 2 ‘Zwingende Klauseln’, finden uneingeschränkt Anwendung;
2. Für die Zwecke von Tabelle 1 der britischen IDTA werden die Namen der Parteien, ihre Rollen und ihre Einzelheiten in Anhang C aufgeführt;
3. Für die Zwecke der Tabellen 2 und 3 des britischen IDTA gelten die Standardvertragsklauseln 2021, die durch Verweis in diese DPA aufgenommen werden, einschließlich der in den beigefügten Anhängen dargelegten Informationen; und
4. Für die Zwecke von Tabelle 4 der UK IDTA kann jede Partei die UK IDTA beenden, wenn die Parteien nach ernsthaften Bemühungen zur Änderung dieser DPA keine gegenseitige Einigung erzielen können.
5. Soweit nach den britischen Datenschutzgesetzen zulässig, unterliegt die Haftung des Datenimporteurs etwaigen Haftungsbeschränkungen, die in der Vereinbarung festgelegt sind.