DIESER NACHTRAG tritt mit dem Datum des Inkrafttretens der Hauptvereinbarung („Datum des Inkrafttretens“) in Kraft.DIESER NACHTRAG gilt ab dem Datum des Inkrafttretens der Hauptvereinbarung („Datum des Inkrafttretens“).

ZWISCHEN:ZWISCHEN:

(1) Das in der jeweils geltenden maßgeblichen Vereinbarung aufgeführte Unternehmen, in die dieser Nachtrag durch Verweis aufgenommen wurde, zusammen mit seinen verbundenen Unternehmen, von denen jedes als Partei dieses Nachtrags zur Datenverarbeitung behandelt wird („Unternehmen“); und(1) Das Unternehmen, das in der geltenden Vereinbarung aufgeführt ist, in die dieser Nachtrag aufgenommen wurde, zusammen mit seinen verbundenen Unternehmen, von denen jedes als Partei dieses Datenverarbeitungszusatzes behandelt wird („Unternehmen“); und

(2) ADMARKETPLACE INC.ADMARKETPLACE INC., ein Unternehmen mit Geschäftssitz in 90 Park Avenue, 11th Floor, New York, NY 10016 („DienstanbieterDienstanbieter“), gemeinsam die „ParteienParteien“ und einzeln eine „ParteiPartei“, als Ergänzung zur Vereinbarung der Parteien (bezeichnet als „die VereinbarungVereinbarung“). Dieser Nachtrag ist integraler Bestandteil der Vereinbarung.(2) , ein Unternehmen mit Geschäftssitz in 90 Park Avenue, 11th Floor, New York, NY 10016 („“), zusammen die „“ und jede eine „“, als Ergänzung zur Vereinbarung der Parteien (als „die “ bezeichnet). Dieser Nachtrag ist integraler Bestandteil der Vereinbarung.

1. BEGRIFFSBESTIMMUNGEN1. DEFINITIONEN

Für die Zwecke dieses Nachtrags gilt:Für die Zwecke dieses Addendums:

1. „Personenbezogene Daten“, „besondere Kategorien von Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Aufsichtsbehörde“ haben die gleiche Bedeutung, die ihnen in der Verordnung zugewiesen ist (oder, sofern dieselben oder ähnliche Begriffe unter einem anderen anwendbaren Datenschutzgesetz verwendet werden, die Bedeutung, die diesen Begriffen unter einem solchen Datenschutzgesetz zugewiesen ist).
2. „Europäische personenbezogene DatenDaten“ bezeichnet personenbezogene Daten natürlicher Personen, die der Verordnung unterliegen.
3. „U.S. Personal Information“„Personenbezogene Daten aus den USA“ bezeichnet alle Informationen, die sich auf einen bestimmten Einwohner oder Haushalt der Vereinigten Staaten beziehen, mit diesem in Verbindung gebracht werden können oder direkt oder indirekt mit diesem verknüpft werden könnten.
4. „DPF“„PDF“ bezeichnet das EU-US-Datenschutzschild (Data Privacy Framework) und/oder die UK-Erweiterung zum EU-US-Datenschutzschild und/oder die Schweizer Erweiterung zum EU-US-Datenschutzschild, je nachdem, was anwendbar oder relevant ist (Ort der personenbezogenen Daten vor der Übermittlung).
5. „Datenschutzgesetze“„Datenschutzgesetze“ bezeichnet sämtliche Datenschutz-, Sicherheits- und Datennutzungsgesetze und -vorschriften, die auf die personenbezogenen Daten Anwendung finden, auf die das Unternehmen im Rahmen der Vereinbarung Zugriff hat, einschließlich, aber nicht beschränkt auf (i) die EU-Datenschutz-Grundverordnung (Verordnung 2016/679) („DSGVO“); (ii) die EU-Datenschutzrichtlinie für elektronische Kommunikation (Richtlinie 2002/58/EG); (iii) alle nationalen Gesetze, die gemäß oder in Umsetzung von (i) oder (ii) erlassen wurden; (iv) das Bundesgesetz über den Datenschutz vom 19. Juni 1992 (Schweiz); (v) den United Kingdom Data Protection Act 2018; (vi) die Fassung der DSGVO für das Vereinigte Königreich („UK“), die aufgrund des European Union (Withdrawal) Act 2018 Teil des Rechts des Vereinigten Königreichs ist („UK-DSGVO“); und (vii) Datenschutzgesetze der US-Bundesstaaten (zusammen „State Privacy Laws“), einschließlich, aber nicht beschränkt auf den California Consumer Privacy Act, Cal. Civ. Code §1798.100 ff., in der durch den California Privacy Rights Act geänderten Fassung („CCPA“); den Colorado Privacy Act, C.R.S. §6-1-1301 ff. und den Connecticut Data Privacy Act CTDPA § 1 ff.
6. „Verordnung“„Verordnung“ oder „DSGVO“„GDPR“ bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (Datenschutz-Grundverordnung).
7. „SOC2“„SOC 2“ bezeichnet die Service Organization Control 2-Zertifizierung, ein Rahmenwerk, das vom international anerkannten Forum für globale Standards, dem AICPA, entwickelt wurde, um sicherzustellen, dass Dienstanbieter Daten sicher verwalten, um die Privatsphäre und die Interessen qualifizierter Datentypen zu schützen.
8. „Unterauftragsverarbeiter“„Subprozessor“ bezeichnet jedes Unternehmen, das vom Dienstanbieter mit der Verarbeitung personenbezogener Daten im Zusammenhang mit den Dienstleistungen beauftragt wurde.

2. ROLLE DER PARTEIEN2. ROLLE DER PARTEIEN

Die Parteien vereinbaren, dass das Unternehmen der Verantwortliche und der Dienstanbieter der Auftragsverarbeiter aller personenbezogenen Daten ist, die vom Dienstanbieter im Auftrag des Unternehmens gemäß der Vereinbarung verarbeitet werden ("personenbezogene Unternehmensdaten"„personenbezogene Daten des Unternehmens“), und dass das Unternehmen das Unternehmen und der Dienstanbieter der Dienstleister oder Auftragsverarbeiter (je nach Anwendbarkeit) aller personenbezogenen Daten aus den USA ist, die vom Dienstanbieter im Auftrag des Unternehmens gemäß 1 verarbeitet werden Die Parteien vereinbaren, dass das Unternehmen der für die Verarbeitung Verantwortliche ist und der Dienstleister der Verarbeiter aller personenbezogenen Daten ist, die vom Dienstleister im Namen des Unternehmens gemäß der Vereinbarung verarbeitet werden () und dass das Unternehmen das Unternehmen ist und der Dienstleister der Dienstleister oder Verarbeiter (soweit zutreffend) aller personenbezogenen Daten aus den USA ist, die vom Dienstleister im Namen des Unternehmens unter 1 verarbeitet werden

die Vereinbarung (zusammenfassend "Unternehmensdaten"„Unternehmensdaten“). Die Einzelheiten der vom Dienstanbieter im Auftrag des Unternehmens durchzuführenden Verarbeitungstätigkeiten sind in Anhang 1 festgelegt.die Vereinbarung (zusammen ). Die Einzelheiten der Verarbeitungstätigkeiten, die der Dienstleister im Namen des Unternehmens durchführen muss, sind in Anhang 1 aufgeführt.

3. VERPFLICHTUNGEN DES DIENSTANBIETERS3. PFLICHTEN DES DIENSTEANBIETERS

Der Dienstanbieter garantiert und verpflichtet sich, dass:Der Dienstanbieter garantiert und verpflichtet sich, dass:

1. Er wird während der gesamten Laufzeit angemessene technische und organisatorische Sicherheitsmaßnahmen implementieren und aufrechterhalten, um Unternehmensdaten gegen versehentliche oder rechtswidrige Zerstörung oder versehentlichen Verlust, Veränderung, unbefugte Offenlegung oder Zugriff sowie gegen alle anderen rechtswidrigen Formen der Verarbeitung zu schützen. Diese technischen und organisatorischen Sicherheitsmaßnahmen müssen der Art der zu schützenden Unternehmensdaten angemessen sein und den Stand der Technik, die Implementierungskosten sowie die Art, den Umfang, den Kontext und die Zwecke der Verarbeitung berücksichtigen. Insbesondere wird der Dienstanbieter seine branchenweit anerkannte SOC2-Zertifizierung als Teil seines Engagements für hohe Standards der Datensicherheit aufrechterhalten.
2. er wird Verfahren implementieren, um sicherzustellen, dass jeder Dritte, den er im Rahmen dieses Nachtrags zur Einsichtnahme in Unternehmensdaten befugt, einschließlich seiner Unterauftragnehmer, die Vertraulichkeit und Sicherheit der Unternehmensdaten respektiert und wahrt;
3. er wird die Unternehmensdaten nur im Auftrag des Unternehmens und in Übereinstimmung mit dessen dokumentierten Anweisungen und diesem Nachtrag sowie im Rahmen und zu dem spezifischen Zweck der Erbringung der Leistungen gemäß der Vereinbarung verarbeiten, es sei denn, dies ist in Bezug auf europäische personenbezogene Daten durch das Recht der Europäischen Union oder eines Mitgliedstaats der Europäischen Union oder in Bezug auf personenbezogene Daten aus den USA zum Zwecke der Erkennung von Sicherheitsvorfällen oder zum Schutz vor betrügerischen oder rechtswidrigen Aktivitäten erforderlich oder durch US-Recht, dem der Dienstanbieter unterliegt, vorgeschrieben; in diesem Fall wird er das Unternehmen benachrichtigen, sobald das Gesetz dies zulässt, und der Dienstanbieter garantiert, dass er über die rechtliche Befugnis verfügt, die hierin dargelegten Garantien zu geben und die Verpflichtungen zu erfüllen;
4. er wird dem Unternehmen eine Kontaktstelle innerhalb seiner Organisation benennen, die befugt ist, auf Sicherheitsverletzungen (wie unten definiert) und Anfragen bezüglich der Verarbeitung von Unternehmensdaten zu reagieren. Die Kontaktstelle für den Dienstanbieter ist:
   ‍
   Name: George Pappachen
   Bezeichnung: Datenschutzbeauftragter
   E-Mail-Adresse: privacy@admarketplace.com

1. er wird ein Verzeichnis aller Verarbeitungstätigkeiten führen, die im Auftrag des Unternehmens durchgeführt werden;
2. er wird mit dem Unternehmen, der betroffenen Person und der Aufsichtsbehörde in Bezug auf alle Anfragen zur Verarbeitung von Unternehmensdaten innerhalb einer angemessenen Frist nach Treu und Glauben zusammenarbeiten;
3. er hat keinen Grund zu der Annahme, dass die für ihn geltenden Rechtsvorschriften ihn an der Erfüllung der vom Unternehmen erhaltenen Anweisungen und seiner Verpflichtungen aus der Vereinbarung hindern, und dass er im Falle einer Änderung dieser Rechtsvorschriften, die sich voraussichtlich wesentlich nachteilig auf die in diesem Nachtrag gewährten Garantien und Verpflichtungen auswirkt, das Unternehmen unverzüglich nach Kenntniserlangung darüber informiert, wobei das Unternehmen in diesem Fall berechtigt ist, die Datenübermittlung auszusetzen und/oder die Vereinbarung zu kündigen;
4. er wird das Unternehmen unverzüglich benachrichtigen, wenn er Kenntnis erlangt von:
   • jede rechtlich bindende Aufforderung zur Offenlegung von Unternehmensdaten durch eine Strafverfolgungsbehörde, sofern dies nicht anderweitig untersagt ist, wie etwa durch ein strafrechtliches Verbot zur Wahrung der Vertraulichkeit einer strafrechtlichen Ermittlung;
   • jede tatsächliche oder vermutete Sicherheitsverletzung, jeder versehentliche oder unbefugte Zugriff oder jede rechtswidrige Verarbeitung, Veruntreuung, Verlust, Beschädigung oder Zerstörung oder sonstige Beeinträchtigung der Sicherheit, Vertraulichkeit oder Integrität von Unternehmensdaten, die vom Dienstanbieter oder einem Unterauftragnehmer verarbeitet werden ("SicherheitsverletzungSicherheitsverletzung"); oder
   • jede Beschwerde, Mitteilung oder Anfrage, die direkt vom Dienstanbieter oder einem Unterauftragnehmer von einer betroffenen Person eingeht, ohne auf diese Anfrage zu reagieren, es sei denn, er ist anderweitig dazu befugt; in diesem Fall leistet er dem Unternehmen volle Kooperation und Unterstützung in Bezug auf eine solche Beschwerde oder Anfrage;
5. nach Entdeckung einer Sicherheitsverletzung:
   • leitet unverzüglich Maßnahmen ein, um weitere Sicherheitsverletzungen zu verhindern; und
   • leistet dem Unternehmen volle und unverzügliche Kooperation und Unterstützung in Bezug auf alle Benachrichtigungen, die das Unternehmen infolge der Sicherheitsverletzung vornehmen muss;
   • benachrichtigt das Unternehmen über jede Sicherheitsverletzung unverzüglich und in jedem Fall spätestens innerhalb von zweiundsiebzig (72) Stunden.
6. er stellt sicher, dass alle Mitarbeiter (und, soweit im Rahmen dieser Anlage zulässig, Vertreter oder Unterauftragnehmer): (i) über die Vertraulichkeit der Unternehmensdaten informiert sind und verpflichtet sind, diese Unternehmensdaten vertraulich zu behandeln; (ii) Schulungen zum Umgang mit personenbezogenen Daten und personenbezogenen Informationen aus den USA absolviert haben; und (iii) sich sowohl der Pflichten des Dienstanbieters als auch ihrer persönlichen Pflichten und Verpflichtungen gemäß dieser Anlage bewusst sind. Der Dienstanbieter ergreift angemessene Maßnahmen, um die Zuverlässigkeit aller Mitarbeiter des Dienstanbieters sicherzustellen, die Zugriff auf Unternehmensdaten haben;
7. er darf Unternehmensdaten weder direkt noch indirekt an betroffene Personen, Personen, Firmen oder andere Unternehmenseinheiten ohne die schriftliche Zustimmung des Unternehmens weitergeben, außer an diejenigen seiner Mitarbeiter, die mit der Verarbeitung der Daten betraut sind und den in Klausel 3(j) oben genannten verbindlichen Verpflichtungen unterliegen, es sei denn, dies ist nach Datenschutzgesetzen gesetzlich vorgeschrieben; und
8. Er leistet dem Unternehmen volle und unverzügliche Kooperation und Unterstützung in Bezug auf Beschwerden, Mitteilungen oder Anfragen, die von einer betroffenen Person eingehen, sowie in Bezug auf Datenschutz-Folgenabschätzungen oder behördliche Konsultationen, zu denen das Unternehmen in Bezug auf Unternehmensdaten gesetzlich verpflichtet ist.

4. INTERNATIONALE DATENÜBERMITTLUNGEN4. INTERNATIONALE DATENÜBERTRAGUNGEN

Die Parteien vereinbaren, dass bei der Erbringung der Dienste gemäß der Vereinbarung personenbezogene Daten von „europäischen Gebieten“ (dieser Begriff umfasst zur Referenzzwecken das Vereinigte Königreich und/oder die Schweiz, sofern zutreffend) in die Vereinigten Staaten oder andere Gebiete übermittelt werden können, deren Schutzniveau für personenbezogene Daten von dem der europäischen Gebiete abweicht. Wenn eine solche Übermittlung zur Erfüllung der Zwecke der Vereinbarung erfolgt, unterliegt diese Übermittlung (sofern das Unternehmen der Datenexporteur und der Dienstanbieter der Datenimporteur ist) dem DPF oder den entsprechenden Standardvertragsklauseln, wie unten aufgeführt.Die Parteien vereinbaren, dass bei der Erbringung der Dienste im Rahmen der Vereinbarung personenbezogene Daten aus „europäischen Gebieten“ (nur zu Referenzzwecken, dieser Begriff umfasst gegebenenfalls das Vereinigte Königreich und/oder die Schweiz) in die Vereinigten Staaten oder andere Gebiete übertragen werden können, deren Schutzniveau für personenbezogene Daten von dem der europäischen Gebiete abweicht. Erfolgt eine solche Übertragung zur Förderung der Zwecke der Vereinbarung, unterliegt diese Übertragung (wenn das Unternehmen Datenexporteur ist und der Dienstleister der Datenimporteur ist) dem DPF oder den entsprechenden Standardvertragsklauseln, wie unten beschrieben.

1. Hinsichtlich der Übermittlung von personenbezogenen Daten aus den europäischen Gebieten in die Vereinigten Staaten ist das DPF anwendbar und dient als Übermittlungsmechanismus, sofern der Datenimporteur hierin nach dem DPF zertifiziert ist. In einem solchen Fall wird der DPF-zertifizierte Datenimporteur im DPF-Register aufgeführt (https://www.dataprivacyframework.gov/https://www.dataprivacyframework.gov/) als zertifizierter Registrant, der aktiv ist und die Anforderungen des DPF erfüllt. In diesem Fall gelten die Verpflichtungen, Rechte, Verantwortlichkeiten, Haftungen, Protokolle (einschließlich des Streitbeilegungsverfahrens und zugelassener Foren) sowie alle anderen Regeln des DPF und haben Vorrang vor allen anderen konkurrierenden oder widersprüchlichen Mechanismen, Rahmenwerken oder Regeln. Der Dienstanbieter versichert, dass er über eine gültige DPF-Zertifizierung verfügt und diese für die Dauer dieser Vereinbarung aufrechterhalten wird, einschließlich einer Rezertifizierung, sofern dies erforderlich ist, um den aktiven Status und die Konformität zu wahren.
2. In Bezug auf Unternehmenspersonenbezogene Daten, die durch die EU-DSGVO geschützt sind, gelten die EU-Standardvertragsklauseln in der folgenden Fassung:
   • Modul Zwei findet Anwendung;
   • in Klausel 7 findet die optionale Beitrittsklausel Anwendung;
   • in Klausel 9 findet Option 2 Anwendung, und die Frist für die vorherige Benachrichtigung bei Änderungen von Unterauftragsverarbeitern ist wie in diesem DPA festgelegt;
   • in Klausel 11 findet die optionale Formulierung keine Anwendung;
   • in Klausel 17 findet Option 1 Anwendung, und die EU-Standardvertragsklauseln unterliegen dem Recht von Luxemburg;
   • in Klausel 18(b) werden Streitigkeiten vor den Gerichten in Luxemburg beigelegt;
   • Anhang I A (Liste der Parteien) gilt als durch die Informationen der Parteien zu diesem DPA und wie in Anhang 2 zu diesem DPA spezifiziert vervollständigt; und
   • Anhang I B (Beschreibung der Übermittlung) gilt als mit den in Anhang 2 dieses DPA aufgeführten Informationen vervollständigt; und
   • Anhang I C: Die zuständige Aufsichtsbehörde ist die Nationale Kommission für den Datenschutz des Großherzogtums Luxemburg); und
   • Anhang II gilt als mit den in Anhang 3 dieses DPA aufgeführten Informationen vervollständigt.
3. in Bezug auf Unternehmensdaten, die durch die UK-DSGVO geschützt sind, gelten die UK-Standardvertragsklauseln wie folgt vervollständigt:
   • Wenn das Unternehmen und der Dienstanbieter rechtlich befugt sind, sich für Übermittlungen personenbezogener Daten aus dem Vereinigten Königreich auf die EU-Standardvertragsklauseln zu stützen, vorbehaltlich der Vervollständigung eines vom Information Commissioner’s Office gemäß s.119A(1) des Data Protection Act 2018 herausgegebenen „UK-Nachtrags zu den EU-Standardvertragsklauseln“ („UK-Nachtrag“), dann:
   • Die wie oben ausgeführt vervollständigten EU-Standardvertragsklauseln gelten auch für Übermittlungen von Unternehmensdaten, vorbehaltlich des nachstehenden Unterabschnitts (B); und
   • Der UK-Nachtrag gilt als zwischen dem Unternehmen und dem Auftragsverarbeiter abgeschlossen, und die EU-Standardvertragsklauseln gelten in Bezug auf die Übermittlung solcher Auftragsverarbeiter-Daten als durch den UK-Nachtrag geändert.
   • Falls Unterabschnitt (i) keine Anwendung findet, arbeiten das Unternehmen und der Auftragsverarbeiter in gutem Glauben zusammen, um angemessene Schutzmaßnahmen für Übermittlungen der betreffenden Unternehmensdaten zu implementieren, wie sie nach der UK-DSGVO erforderlich oder zulässig sind, ohne schuldhaftes Zögern;
4. In Bezug auf Unternehmensdaten, die durch das Schweizer DSG geschützt sind, gelten die EU-Standardvertragsklauseln gemäß Klausel 5(a) mit folgenden Änderungen:
   • Verweise auf die „Verordnung (EU) 2016/679“ in den EU-Standardvertragsklauseln gelten als Verweise auf das Schweizer DSG;
   • Verweise auf spezifische Artikel der „Verordnung (EU) 2016/679“ gelten als durch den entsprechenden Artikel oder Abschnitt des Schweizer DSG ersetzt,
   • Verweise auf „EU“, „Union“ und „Mitgliedstaat“ gelten als durch „Schweiz“ ersetzt,
   • Verweise auf die „zuständige Aufsichtsbehörde“ und „zuständige Gerichte“ werden durch den „Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten“ bzw. die „zuständigen Gerichte der Schweiz“ (je nach Anwendbarkeit) ersetzt,
   • in Klausel 17 unterliegen die EU-Standardvertragsklauseln dem Recht der Schweiz, und
   • in Klausel 18(b) werden Streitigkeiten vor den zuständigen Gerichten der Schweiz beigelegt;
5. Falls eine Bestimmung dieses DPA direkt oder indirekt im Widerspruch zu den Standardvertragsklauseln steht, haben die Standardvertragsklauseln Vorrang.

5. AUDITRECHTE5. RECHTE AN DER PRÜFUNG

Das Unternehmen hat das Recht, den SOC2-Bericht des Dienstanbieters zu prüfen, um die fortlaufende Einhaltung der festgelegten Standards zu verifizieren. Der Zugang zum SOC 2-Bericht ist an die Bedingung geknüpft, dass das Unternehmen zustimmt, die Vertraulichkeit des Berichts gemäß den Vertraulichkeitsverpflichtungen in einer bestehenden Vereinbarung mit dem Dienstanbieter oder, falls keine solchen Verpflichtungen bestehen, gemäß den Bedingungen einer beiderseits unterzeichneten Geheimhaltungsvereinbarung zu wahren. Das Unternehmen darf den SOC 2-Bericht ausschließlich zum Zweck der Bewertung der Compliance des Dienstanbieters verwenden und darf ihn ohne vorherige schriftliche Zustimmung des Dienstanbieters nicht an Dritte weitergeben. Das Unternehmen ist berechtigt, nach einer Ankündigungsfrist von mindestens dreißig (30) Tagen gegenüber dem Dienstanbieter relevante Dokumente in Bezug auf die Verarbeitung von Unternehmensdaten durch den Dienstanbieter zu prüfen oder Prüfer damit zu beauftragen, um zu untersuchen, ob der Dienstanbieter seine Verpflichtungen aus diesem Nachtrag erfüllt. Die Ankündigungspflicht gilt nicht, wenn das Unternehmen begründeten Anlass zu der Annahme hat, dass der Dienstanbieter gegen eine seiner Verpflichtungen aus diesem Nachtrag verstößt. Beide Parteien tragen ihre jeweiligen Kosten für solche Audits. Das Unternehmen darf Audits höchstens einmal jährlich und nur während der üblichen Geschäftszeiten durchführen, unter Einhaltung einer angemessenen Vorankündigungsfrist gemäß diesem Abschnitt 3 und in einer Weise, die den Geschäftsbetrieb des Dienstanbieters so wenig wie möglich stört.Das Unternehmen hat das Recht, den SOC2-Bericht des Dienstanbieters zu überprüfen, um die kontinuierliche Einhaltung der festgelegten Standards zu überprüfen. Der Zugang zum SOC 2-Bericht ist an die Bedingung geknüpft, dass das Unternehmen zustimmt, die Vertraulichkeit des Berichts gemäß den Vertraulichkeitsverpflichtungen zu wahren, die in einer bestehenden Vereinbarung mit dem Dienstleister oder, falls keine solchen Verpflichtungen bestehen, gemäß den Bedingungen einer gemeinsam abgeschlossenen Geheimhaltungsvereinbarung festgelegt sind. Das Unternehmen darf den SOC 2-Bericht ausschließlich zur Bewertung der Einhaltung der Vorschriften durch den Dienstanbieter verwenden und ihn ohne vorherige schriftliche Zustimmung des Dienstanbieters nicht an Dritte weitergeben. Das Unternehmen ist berechtigt, relevante Dokumente im Zusammenhang mit der Verarbeitung von Unternehmensdaten durch den Dienstleister einzusehen oder Vertreter zu benennen, die den Dienstleister mindestens dreißig (30) Tage vorher darüber informieren, ob der Dienstleister seinen Verpflichtungen aus diesem Zusatz nachkommt. Die Pflicht zur Mitteilung gilt nicht, wenn das Unternehmen Grund zu der Annahme hat, dass der Dienstleister gegen eine seiner Verpflichtungen aus diesem Nachtrag verstößt. Beide Parteien tragen ihre jeweiligen Kosten für diese Prüfung (en). Das Unternehmen darf Audits höchstens einmal jährlich und nur während der normalen Geschäftszeiten mit angemessener Vorankündigung durchführen, wie in diesem Abschnitt 3 beschrieben, und zwar auf eine Weise, die Unterbrechungen des Betriebs des Dienstanbieters so gering wie möglich hält.

6. HAFTUNG6. HAFTUNG

Die Parteien erkennen an, dass jede Haftungsbeschränkungsklausel in der Vereinbarung für Verbindlichkeiten gilt, die sich aus oder im Zusammenhang mit einer Verletzung der Bestimmungen dieses Nachtrags oder einer Nichterfüllung der Verpflichtungen gemäß diesem Nachtrag durch den Dienstanbieter oder dessen Mitarbeiter ergeben, es sei denn, eine solche Haftung kann nach geltendem Recht nicht beschränkt werden.Die Parteien erkennen an, dass jede Haftungsbeschränkungsklausel in der Vereinbarung für Verbindlichkeiten gilt, die sich aus oder im Zusammenhang mit einem Verstoß gegen die Bedingungen dieses Zusatzes oder einer Nichteinhaltung der Verpflichtungen aus diesem Zusatz durch den Dienstleister oder seine Mitarbeiter ergeben, es sei denn, eine solche Haftung kann nach geltendem Recht nicht beschränkt werden.

7. UNTERAUFTRAGSVERGABE7. UNTERVERGABE

Der Dienstanbieter darf ohne die schriftliche Zustimmung des Unternehmens keine seiner Verarbeitungstätigkeiten, die speziell im Auftrag des Unternehmens gemäß der Vereinbarung durchgeführt werden, an Unterauftragnehmer weitergeben. Wenn der Dienstanbieter seine Verpflichtungen aus diesem Nachtrag mit Zustimmung des Unternehmens an Unterauftragnehmer weitergibt, darf dies nur durch eine schriftliche Vereinbarung mit dem Unterauftragnehmer erfolgen, die dem Unterauftragnehmer dieselben Verpflichtungen auferlegt, die dem Dienstanbieter gemäß diesem Nachtrag auferlegt sind. Wenn der Unterauftragnehmer seine Datenschutzverpflichtungen aus einer solchen schriftlichen Vereinbarung nicht erfüllt, bleibt der Dienstanbieter gegenüber dem Unternehmen vollumfänglich für die Erfüllung der Verpflichtungen des Unterauftragnehmers aus dieser Vereinbarung haftbar und sendet auf Anfrage unverzüglich eine Kopie jeder Vereinbarung, die er mit einem Unterauftragnehmer gemäß dieser Klausel 7 speziell in Bezug auf personenbezogene Daten des Unternehmens schließt, an das Unternehmen.Der Dienstleister darf ohne die schriftliche Zustimmung des Unternehmens keine seiner Verarbeitungsvorgänge, die speziell im Namen des Unternehmens im Rahmen der Vereinbarung durchgeführt werden, an Unterauftragnehmer vergeben. Vergibt der Dienstleister seine Verpflichtungen aus diesem Zusatz mit Zustimmung des Unternehmens an Unterauftragnehmer, tut er dies nur im Rahmen einer schriftlichen Vereinbarung mit dem Unterauftragnehmer, die dem Unterauftragnehmer dieselben Verpflichtungen auferlegt, die dem Dienstleister im Rahmen dieses Zusatzes auferlegt werden. Wenn der Subunternehmer seinen Datenschutzverpflichtungen aus einer solchen schriftlichen Vereinbarung nicht nachkommt, haftet der Dienstleister gegenüber dem Unternehmen weiterhin in vollem Umfang für die Erfüllung der Verpflichtungen des Subunternehmers aus dieser Vereinbarung, und auf Anfrage sendet er dem Unternehmen umgehend eine Kopie aller Vereinbarungen, die er mit einem Unterauftragnehmer gemäß dieser Klausel 7 schließt, die sich speziell auf personenbezogene Unternehmensdaten beziehen.

8. UNTERAUFTRAGSVERARBEITER8. SUBPROZESSOREN

1. Bestellung von Unterauftragsverarbeitern.Ernennung von Unterauftragsverarbeitern. Der Verantwortliche erkennt an und stimmt zu, dass der Dienstanbieter im Zusammenhang mit der Erbringung der Dienste Unterauftragsverarbeiter hinzuziehen kann. Als Bedingung für die Gestattung der Verarbeitung personenbezogener Daten durch einen Unterauftragsverarbeiter schließt der Dienstanbieter mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung ab, die Datenschutzverpflichtungen enthält, die für personenbezogene Daten mindestens das gleiche Schutzniveau bieten wie die in diesem DPA, soweit dies auf die Art der vom Unterauftragsverarbeiter erbrachten Dienste anwendbar ist.
2. Liste der aktuellen Unterauftragsverarbeiter. Eine aktuelle Liste der Unterauftragsverarbeiter für die Dienste, einschließlich der Identität dieser Unterauftragsverarbeiter und ihres Standorts, ist abrufbar unter https://www.admarketplace.com/admarketplace-subprocessors.https://www.admarketplace.com/admarketplace-subprocessors.
3. Widerspruchsrecht bei neuen Unterauftragsverarbeitern.Widerspruchsrecht für neue Unterauftragsverarbeiter. Der Verantwortliche stimmt hiermit diesen Unterauftragsverarbeitern, ihren Standorten und ihren Verarbeitungstätigkeiten in Bezug auf personenbezogene Daten zu. Der Verantwortliche kann der Nutzung eines neuen Unterauftragsverarbeiters durch den Dienstanbieter aus berechtigten Gründen widersprechen, indem er den Dienstanbieter unverzüglich schriftlich innerhalb von dreißig (30) Tagen nach Absendung der Mitteilung über den Wechsel der Unterauftragsverarbeiter benachrichtigt. Eine solche Mitteilung muss die berechtigten Gründe für den Widerspruch darlegen. Falls der Verantwortliche einem neuen Unterauftragsverarbeiter widerspricht, wird der Dienstanbieter wirtschaftlich angemessene Anstrengungen unternehmen, um dem Verantwortlichen eine Änderung der Dienste zur Verfügung zu stellen oder eine wirtschaftlich angemessene Änderung der Konfiguration oder Nutzung der Dienste durch den Verantwortlichen zu empfehlen, um die Verarbeitung personenbezogener Daten durch den beanstandeten neuen Unterauftragsverarbeiter zu vermeiden, ohne den Verantwortlichen unangemessen zu belasten. Wenn der Dienstanbieter nicht in der Lage ist, eine solche Änderung innerhalb eines angemessenen Zeitraums, der dreißig (30) Tage nicht überschreiten darf, bereitzustellen, kann jede Partei die betroffenen IOs nur in Bezug auf diejenigen Dienste, die vom Dienstanbieter nicht ohne den Einsatz des beanstandeten neuen Unterauftragsverarbeiters erbracht werden können, ohne Vertragsstrafe durch schriftliche Mitteilung an den Dienstanbieter kündigen.

9. FREISTELLUNG9. ENTSCHÄDIGUNG

Der Dienstanbieter verpflichtet sich, das Unternehmen auf eigene Kosten von allen Kosten, Ansprüchen, Schäden oder Aufwendungen freizustellen, zu verteidigen und schadlos zu halten, die dem Unternehmen entstehen oder für die das Unternehmen aufgrund einer Verletzung der Verpflichtungen aus diesem Nachtrag durch den Dienstanbieter oder dessen Mitarbeiter oder Beauftragte haftbar gemacht werden könnte. Die Freistellungsverpflichtungen des Dienstanbieters im Rahmen dieses Nachtrags gelten nur im Umfang seiner nachgewiesenen groben Fahrlässigkeit oder seines vorsätzlichen Fehlverhaltens und dürfen die in der Vereinbarung festgelegte Haftungsobergrenze nicht überschreiten.Der Dienstanbieter verpflichtet sich, das Unternehmen auf eigene Kosten zu entschädigen und zu entschädigen und gegen alle Kosten, Ansprüche, Schäden oder Ausgaben zu verteidigen, die dem Unternehmen entstehen oder für die das Unternehmen haftet, wenn der Dienstleister oder seine Mitarbeiter oder Vertreter seinen Verpflichtungen aus diesem Zusatz nicht nachkommen. Die Schadensersatzverpflichtungen des Dienstanbieters gemäß diesem Zusatz gelten nur im Umfang seiner nachgewiesenen groben Fahrlässigkeit oder seines vorsätzlichen Fehlverhaltens und überschreiten nicht die in der Vereinbarung festgelegte Haftungsobergrenze.

10. KOSTENVERTEILUNG10. AUFTEILUNG DER KOSTEN

Jede Partei erfüllt ihre Verpflichtungen aus diesem Nachtrag auf eigene Kosten.Jede Partei erfüllt ihre Verpflichtungen aus diesem Nachtrag auf eigene Kosten.

11. BEENDIGUNG11. KÜNDIGUNG

1. Für den Fall, dass der Dienstanbieter gegen seine Verpflichtungen aus diesem Nachtrag oder der Vereinbarung verstößt, kann das Unternehmen die Übermittlung von Unternehmensdaten an den Dienstanbieter vorübergehend aussetzen, bis der Verstoß behoben ist.
2. Für den Fall, dass:
   • die Übermittlung von Unternehmensdaten an den Dienstanbieter wurde vom Unternehmen gemäß Klausel 9(a) vorübergehend für einen Zeitraum von mehr als einem Monat ausgesetzt;
   • die Einhaltung dieses Nachtrags durch den Dienstanbieter würde ihn dazu zwingen, gegen seine rechtlichen oder regulatorischen Verpflichtungen in dem Land zu verstoßen, in dem der Dienstanbieter ansässig ist;
   • der Dienstanbieter verstößt wesentlich oder wiederholt gegen die von ihm im Rahmen dieses Nachtrags gegebenen Garantien oder Verpflichtungen; oder
   • es wird ein Antrag auf Verwaltung oder Liquidation des Dienstanbieters gestellt, der nicht innerhalb der für einen solchen Antrag geltenden Frist nach anwendbarem Recht abgewiesen wird; es ergeht ein Liquidationsbeschluss; ein Insolvenzverwalter wird für einen Teil seines Vermögens bestellt; ein freiwilliges Unternehmensvergleichsverfahren wird eingeleitet; oder ein gleichwertiges Ereignis tritt in einer Rechtsordnung ein;
     dann ist das Unternehmen unbeschadet anderer Rechte, die es gegenüber dem Dienstanbieter haben mag, berechtigt, die Vereinbarung und diese Zusatzvereinbarung zu kündigen.
3. Für den Fall, dass die Vereinbarung aus irgendeinem Grund endet, tritt diese Zusatzvereinbarung sofort außer Kraft und der Dienstanbieter stellt die Verarbeitung der Unternehmensdaten ein.

12. VERPFLICHTUNG NACH BEENDIGUNG DER DIENSTLEISTUNGEN ZUR VERARBEITUNG PERSONENBEZOGENER DATEN12. VERPFLICHTUNG NACH BEENDIGUNG DER DIENSTLEISTUNGEN ZUR VERARBEITUNG PERSONENBEZOGENER DATEN

Die Parteien vereinbaren, dass das Unternehmen, der Dienstanbieter und dessen Unterauftragnehmer nach Beendigung der Erbringung von Datenverarbeitungsdiensten nach Wahl des Unternehmens alle Unternehmensdaten sowie deren Kopien an das Unternehmen zurückgeben, sofern diese nicht anonymisiert wurden, oder alle Unternehmensdaten sicher löschen und dem Unternehmen die Durchführung dieser Löschung bestätigen, es sei denn, für europäische personenbezogene Daten verhindern Rechtsvorschriften der Europäischen Union oder der Mitgliedstaaten oder für personenbezogene Daten aus den USA verhindern US-amerikanische Gesetze, die dem Dienstanbieter und seinen Unterauftragnehmern auferlegt wurden, die Rückgabe oder Löschung der Unternehmensdaten ganz oder teilweise. In diesem Fall garantiert der Dienstanbieter, die Vertraulichkeit der Unternehmensdaten zu wahren und die übermittelten Unternehmensdaten nicht mehr aktiv zu verarbeiten.Die Parteien vereinbaren, dass das Unternehmen, der Dienstleister und seine Unterauftragnehmer nach Wahl des Unternehmens alle Unternehmensdaten und deren Kopien, sofern sie nicht anonymisiert sind, an das Unternehmen zurückgeben oder alle Unternehmensdaten sicher vernichten und dem Unternehmen bestätigen, dass dies geschehen ist, es sei denn, für europäische personenbezogene Daten, Gesetze der Europäischen Union oder der Mitgliedstaaten oder, für personenbezogene Daten aus den USA, US-Recht, das dem Dienstanbieter und seinen Unterauftragnehmern auferlegt wird Auftragnehmer hindert sie daran, ganz oder teilweise zurückzugeben oder zu vernichten von Unternehmensdaten. In diesem Fall garantiert der Dienstanbieter, dass er die Vertraulichkeit der Unternehmensdaten gewährleistet und die übertragenen Unternehmensdaten nicht mehr aktiv verarbeitet.