Datenschutzrichtlinie
& Auftragsverarbeitungsvertrag

Diese Datenschutzrichtlinie und Datenverarbeitungsvereinbarung („Vereinbarung“ oder „Richtlinie“) ist eine rechtsverbindliche Vereinbarung zwischen Ihnen („Sie“ oder „Ihr“) und Sunday Group BV („Sunday“, „wir“, „unser“, „Auftragsverarbeiter“), die Ihre Nutzung des Dienstes und Ihre Beziehung zu uns regelt. Zusammen als die „Parteien“ bezeichnet.

Sie akzeptieren diese Nutzungsbedingungen, indem Sie:

• Auf den Dienst zugreifen oder ihn nutzen;
• Klicken, um diese Nutzungsbedingungen zu akzeptieren, oder
• Diese Nutzungsbedingungen auf andere Weise akzeptieren.

Wenn Sie diesen Nutzungsbedingungen nicht zustimmen, sollten Sie nicht auf den Dienst zugreifen (und Sie haben nicht unsere Genehmigung, auf den Dienst zuzugreifen).

1. Definitionen und Auslegung

Sofern hierin nicht anders definiert, haben die in dieser Vereinbarung verwendeten Begriffe und Ausdrücke mit Großbuchstaben die folgende Bedeutung:

• „Vereinbarung“ bezeichnet diese Datenverarbeitungsvereinbarung und alle Anhänge;
• „Personenbezogene Daten des Unternehmens“ bezeichnet alle personenbezogenen Daten, die von einem Vertragsverarbeiter im Auftrag des Unternehmens gemäß oder in Verbindung mit der Hauptvereinbarung verarbeitet werden;
• „Vertragsverarbeiter“ bezeichnet einen Unterauftragsverarbeiter;
• „Datenschutzgesetze“ bezeichnet die EU-Datenschutzgesetze und, soweit anwendbar, die Datenschutz- oder Privatsphäregesetze eines anderen Landes;
• „EWR“ bezeichnet den Europäischen Wirtschaftsraum;
• „EU-Datenschutzgesetze“ bezeichnet die EU-Richtlinie 95/46/EG, wie sie in die nationale Gesetzgebung jedes Mitgliedstaats umgesetzt und von Zeit zu Zeit geändert, ersetzt oder abgelöst wurde, einschließlich durch die DSGVO und Gesetze zur Umsetzung oder Ergänzung der DSGVO;
• „DSGVO“ bezeichnet die Datenschutz-Grundverordnung der EU 2016/679;
• „Datenübertragung“ bezeichnet: eine Übertragung personenbezogener Daten des Unternehmens vom Unternehmen an einen Vertragsverarbeiter; oder eine Weiterübertragung personenbezogener Daten des Unternehmens von einem Vertragsverarbeiter an einen Unterauftragsverarbeiter oder zwischen zwei Niederlassungen eines Vertragsverarbeiters, in jedem Fall, wenn eine solche Übertragung durch Datenschutzgesetze verboten wäre;
• „Dienstleistungen“ bezeichnet die logistischen Dienstleistungen, die der Datenanbieter erbringt.
• „Unterauftragsverarbeiter“ bezeichnet jede Person, die vom oder im Namen des Verarbeiters bestellt wird, um personenbezogene Daten im Auftrag des Unternehmens im Zusammenhang mit der Vereinbarung zu verarbeiten.
• „Logistische Aufgabe“ bezeichnet alle Aufgaben im Zusammenhang mit dem Prozess der Planung und Organisation, um sicherzustellen, dass Ressourcen an den Orten sind, an denen sie benötigt werden, damit eine Aktivität oder ein Prozess effektiv abläuft.

Die Begriffe „Kommission“, „Verantwortlicher“, „Betroffene Person“, „Mitgliedstaat“, „Personenbezogene Daten“, „Verletzung des Schutzes personenbezogener Daten“, „Verarbeitung“ und „Aufsichtsbehörde“ haben die gleiche Bedeutung wie in der DSGVO, und ihre verwandten Begriffe sind entsprechend auszulegen.

2. Verarbeitung personenbezogener Daten des Unternehmens

Der Verarbeiter muss:

• Alle anwendbaren Datenschutzgesetze bei der Verarbeitung personenbezogener Daten des Unternehmens einhalten; und
• Personenbezogene Daten des Unternehmens nicht anders als gemäß den dokumentierten Anweisungen des betreffenden Unternehmens verarbeiten.

Das Unternehmen weist den Verarbeiter an, personenbezogene Daten des Unternehmens zu verarbeiten. Die Liste der Arten personenbezogener Daten ist in Anhang 1 dieser Vereinbarung zu finden.

Wenn die Verarbeitung und Übertragung gesetzlich vorgeschrieben sind, informiert der Verarbeiter das Unternehmen über diese gesetzliche Anforderung vor der Verarbeitung.

3. Personal des Verarbeiters

Der Verarbeiter ergreift angemessene Maßnahmen, um die Zuverlässigkeit jedes Mitarbeiters, Vertreters oder Auftragnehmers eines Vertragsverarbeiters sicherzustellen, der Zugang zu den personenbezogenen Daten des Unternehmens haben könnte, wobei in jedem Fall sichergestellt wird, dass der Zugang strikt auf diejenigen Personen beschränkt ist, die die relevanten personenbezogenen Daten des Unternehmens kennen/darauf zugreifen müssen, wie es für die Zwecke der Hauptvereinbarung unbedingt erforderlich ist, und um die anwendbaren Gesetze im Rahmen der Pflichten dieser Person gegenüber dem Vertragsverarbeiter einzuhalten, wobei sichergestellt wird, dass alle diese Personen Vertraulichkeitsverpflichtungen oder beruflichen oder gesetzlichen Geheimhaltungspflichten unterliegen.

4. Sicherheit

• Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie des unterschiedlichen Wahrscheinlichkeits- und Schweregrades der Risiken für die Rechte und Freiheiten natürlicher Personen setzt der Verarbeiter in Bezug auf die personenbezogenen Daten des Unternehmens geeignete technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, einschließlich gegebenenfalls der in Artikel 32 Absatz 1 der DSGVO genannten Maßnahmen.
• Bei der Beurteilung des angemessenen Schutzniveaus berücksichtigt der Verarbeiter insbesondere die Risiken, die durch die Verarbeitung entstehen, insbesondere durch eine Verletzung des Schutzes personenbezogener Daten.

5. Unterauftragsverarbeitung

• Der Verarbeiter bestellt keinen Unterauftragsverarbeiter (und gibt keine personenbezogenen Daten des Unternehmens an einen solchen weiter), es sei denn, das Unternehmen verlangt dies. Das Unternehmen erteilt dem Verarbeiter eine allgemeine Zustimmung für jeden Unterauftragsverarbeiter, der logistische Aufgaben ausführt.
• Falls der Verarbeiter einen Unterauftragsverarbeiter beauftragt, nimmt der Verarbeiter die gleichen in dieser Vereinbarung festgelegten Verpflichtungen in die Unterauftragsverarbeitungsvereinbarung auf und der Verarbeiter haftet gegenüber dem Unternehmen in vollem Umfang für die Nichterfüllung der Datenschutzpflichten durch einen Unterauftragsverarbeiter.
• Falls der Verarbeiter einen Unterauftragsverarbeiter bestellt, abgesehen von in Artikel 5.1 definierten Unterauftragsverarbeitern, mit vorheriger Zustimmung des Unternehmens, informiert der Verarbeiter das Unternehmen über beabsichtigte Änderungen bezüglich der Hinzufügung oder des Ersatzes von Unterauftragsverarbeitern 14 Tage vor der Änderung per E-Mail an das Datenschutzteam des Unternehmens und gibt dem Unternehmen die Möglichkeit, Änderungen abzulehnen.

6. Rechte der betroffenen Personen

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Verarbeiter das Unternehmen durch die Umsetzung geeigneter technischer und organisatorischer Maßnahmen, soweit dies möglich ist, bei der Erfüllung der Verpflichtungen des Unternehmens, wie sie vom Unternehmen vernünftigerweise verstanden werden, auf Anfragen zur Ausübung der Rechte betroffener Personen gemäß den Datenschutzgesetzen zu reagieren.

Der Verarbeiter muss:

• Das Unternehmen unverzüglich benachrichtigen, wenn er eine Anfrage einer betroffenen Person gemäß einem Datenschutzgesetz in Bezug auf personenbezogene Daten des Unternehmens erhält; und
• Sicherstellen, dass er auf diese Anfrage nicht antwortet, außer auf dokumentierte Anweisungen des Unternehmens oder wie von den anwendbaren Gesetzen verlangt, denen der Verarbeiter unterliegt, in welchem Fall der Verarbeiter das Unternehmen im gesetzlich zulässigen Umfang über diese gesetzliche Anforderung informiert, bevor der Vertragsverarbeiter auf die Anfrage antwortet.

7. Verletzung des Schutzes personenbezogener Daten

• Der Verarbeiter benachrichtigt das Unternehmen ohne unangemessene Verzögerung, sobald der Verarbeiter Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt, die personenbezogene Daten des Unternehmens betrifft, und stellt dem Unternehmen ausreichende Informationen zur Verfügung, damit das Unternehmen etwaige Verpflichtungen zur Meldung oder Information betroffener Personen über die Verletzung gemäß den Datenschutzgesetzen erfüllen kann.
• Der Verarbeiter kooperiert mit dem Unternehmen und ergreift angemessene kommerzielle Maßnahmen gemäß den Anweisungen des Unternehmens, um bei der Untersuchung, Minderung und Behebung jeder solchen Verletzung des Schutzes personenbezogener Daten zu helfen.

8. Datenschutz-Folgenabschätzung und vorherige Konsultation

Der Verarbeiter leistet dem Unternehmen angemessene Unterstützung bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden oder anderen zuständigen Datenschutzbehörden, die das Unternehmen nach den Artikeln 35 oder 36 der DSGVO oder gleichwertigen Bestimmungen anderer Datenschutzgesetze für erforderlich hält, in jedem Fall ausschließlich in Bezug auf die Verarbeitung personenbezogener Daten des Unternehmens durch die Vertragsverarbeiter und unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen.

9. Löschung oder Rückgabe personenbezogener Daten des Unternehmens

Vorbehaltlich dieses Abschnitts 9 löscht der Verarbeiter unverzüglich und in jedem Fall innerhalb von 10 Werktagen nach dem Datum der Einstellung von Diensten, die die Verarbeitung personenbezogener Daten des Unternehmens umfassen (das „Datum der Einstellung“), alle Kopien dieser personenbezogenen Daten des Unternehmens und veranlasst deren Löschung, und legt auf Anfrage einen Nachweis der Löschung vor.

10. Prüfungsrechte

• Vorbehaltlich dieses Abschnitts 10 stellt der Verarbeiter dem Unternehmen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind, und ermöglicht und unterstützt Prüfungen, einschließlich Inspektionen, durch das Unternehmen oder einen vom Unternehmen beauftragten Prüfer in Bezug auf die Verarbeitung personenbezogener Daten des Unternehmens durch die Vertragsverarbeiter.
• Informations- und Prüfungsrechte des Unternehmens entstehen gemäß Abschnitt 10.1 nur insoweit, als die Vereinbarung ihnen nicht anderweitig Informations- und Prüfungsrechte einräumt, die den einschlägigen Anforderungen des Datenschutzrechts entsprechen.

11. Datenübertragung

Werden personenbezogene Daten, die im Rahmen dieser Vereinbarung verarbeitet werden, aus einem Land des Europäischen Wirtschaftsraums in ein Land außerhalb des Europäischen Wirtschaftsraums übertragen, stellen die Parteien sicher, dass die personenbezogenen Daten angemessen geschützt sind. Um dies zu erreichen, stützen sich die Parteien, sofern nichts anderes vereinbart wurde, auf die von der EU genehmigten Standardvertragsklauseln für die Übertragung personenbezogener Daten.

12. Allgemeine Bestimmungen

• Vertraulichkeit. Jede Partei muss diese Vereinbarung und Informationen, die sie über die andere Partei und deren Geschäft im Zusammenhang mit dieser Vereinbarung erhält („Vertrauliche Informationen“), vertraulich behandeln und darf diese vertraulichen Informationen ohne vorherige schriftliche Zustimmung der anderen Partei nicht verwenden oder offenlegen, es sei denn, dass: (a) die Offenlegung gesetzlich vorgeschrieben ist; (b) die betreffenden Informationen bereits öffentlich zugänglich sind.
• Mitteilungen. Alle Mitteilungen und Kommunikationen im Rahmen dieser Vereinbarung müssen schriftlich erfolgen und werden persönlich übergeben, per Post oder per E-Mail an die im Kopf dieser Vereinbarung angegebene Adresse oder E-Mail-Adresse oder an eine andere von den Parteien bei Adressänderung mitgeteilte Adresse gesendet.
• Im Falle der Beendigung des Dienstleistungsvertrags wird diese Vereinbarung zum Datum der Einstellung beendet und die Verarbeitung personenbezogener Daten des Unternehmens findet nicht mehr statt, wobei die Vertraulichkeit der offengelegten Informationen die Beendigung überdauert.
• Im Falle eines Konflikts oder einer Inkonsistenz zwischen dieser Datenschutzrichtlinie und Datenverarbeitungsvereinbarung und gesondert vereinbarten schriftlichen Bedingungen zwischen den Parteien (einschließlich, aber nicht beschränkt auf Handelsvereinbarungen, Service-Level-Vereinbarungen oder individuelle Projektbedingungen) haben die speziell vereinbarten Bedingungen Vorrang.

13. Streitigkeiten

• Diese Vereinbarung unterliegt dem belgischen Recht.
• Jede Streitigkeit im Zusammenhang mit dieser Vereinbarung, die die Parteien nicht gütlich beilegen können, wird der ausschließlichen Zuständigkeit der zuständigen Gerichte Belgiens unterworfen.