Anhang zur Datenverarbeitung

GÜLTIG AB: 29. Juni 2026

Dieser Nachtrag zur Datenverarbeitung (der„DPA“) ist Bestandteil des Rahmenabonnementsvertrags oder einer anderen Vereinbarung (die„Vereinbarung“) zwischen SnapLogic, Inc. und der in der Vereinbarung als„Kunde“bezeichneten Partei (zusammen die„Parteien“) und bildet einen integralen Bestandteil derselben. Großgeschriebene Begriffe, die in diesem DPA verwendet, aber hier nicht definiert werden, haben die in der Vereinbarung festgelegte Bedeutung.

Gegenstand und Dauer.
1. Gegenstand. Diese DPA spiegelt die Verpflichtung der Parteien wider, bei der Erbringung der SnapLogic-Dienstleistungen gemäß dem Vertrag die geltenden Datenschutzgesetze hinsichtlich der Verarbeitung personenbezogener Daten einzuhalten. Soweit Bestimmungen dieser DPA oder eines ihrer Anhänge im Widerspruch zum Vertrag stehen, hat diese DPA Vorrang.
2. Laufzeit und Fortbestand. Diese DPA wird zu dem späteren der folgenden Zeitpunkte rechtsverbindlich: (i) dem Datum des Inkrafttretens der Vereinbarung oder (ii) dem Datum, an dem die Parteien diese DPA unterzeichnen. SnapLogic verarbeitet personenbezogene Daten bis zur Beendigung der Vereinbarung. Die Verpflichtungen von SnapLogic und die Rechte des Kunden gemäß dieser DPA bleiben so lange in Kraft, wie SnapLogic personenbezogene Daten verarbeitet.
Begriffsbestimmungen.

Für die Zwecke dieser DPA gelten die folgenden Begriffe.

„Anwendbare Datenschutzgesetze“bezeichnet alle weltweit geltenden Datenschutzgesetze und -vorschriften, die auf die betreffenden personenbezogenen Daten anwendbar sind (in ihrer jeweils gültigen Fassung, einschließlich etwaiger Änderungen, Aufhebungen oder Ersetzungen), einschließlich, soweit zutreffend:

„EU-Datenschutzrecht“: Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) („DSGVO“) sowie die EU-E-Privacy-Richtlinie (Richtlinie 2002/58/EG), jeweils in der von den einzelnen EU-Mitgliedstaaten in nationales Recht umgesetzten und übernommenen Fassung.

„Schweizer Datenschutzgesetz“: das Schweizer Bundesgesetz über den Datenschutz von 1992.

„Britisches Datenschutzrecht“: der britische Data Protection Act und die DSGVO, wie sie durch den Data Protection Act 2018 in britisches Recht übernommen und durch die Data Protection, Privacy and Electronic Communications (Amendments etc) (EU Exit) Regulations 2019 geändert wurden.

„US-Datenschutzrecht“: alle jeweils geltenden umfassenden Datenschutzgesetze und -vorschriften der einzelnen Bundesstaaten in ihrer jeweils gültigen Fassung, einschließlich des California Privacy Rights Act („CPRA“); Colorado Privacy Act; Connecticut Personal Data Privacy and Online Monitoring Act; Delaware Personal Data Privacy Act; Indiana Consumer Data Protection Act; Iowa Consumer Data Protection Act; Montana Consumer Data Privacy Act; Oregon Consumer Privacy Act; Tennessee Information Protection Act; Texas Data Privacy and Security Act; Utah Consumer Privacy Act; Virginia Consumer Data Protection Act.

Die Begriffe „Verantwortlicher“,„Auftragsverarbeiter“,„betroffene Person“und„Verarbeitung“(unabhängig davon, ob sie großgeschrieben sind oder nicht) haben die ihnen in der DSGVO zugewiesene Bedeutung und umfassen gleichbedeutende Begriffe in anderen anwendbaren Datenschutzgesetzen, jeweils soweit sie für die Dienste gelten.
„Personenbezogene Daten“bezeichnet alle Kundendaten, die: (a) sich auf eine identifizierte oder identifizierbare natürliche Person im Sinne der DSGVO beziehen (unabhängig davon, ob die DSGVO Anwendung findet), (b) „personenbezogene Daten“ im Sinne des US-Datenschutzrechts darstellen und (c) gleichwertigen Begriffen in anderen anwendbaren Datenschutzgesetzen entsprechen.
„SCCs“oder„Standardvertragsklauseln“bezeichnet die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an in Drittländern ansässige Auftragsverarbeiter gemäß der DSGVO, wie sie durch den Durchführungsbeschluss 2021/914 der Europäischen Kommission genehmigt wurden. Anhang A dieser DPA enthält bestimmte Auslegungs- und Ergänzungsbestimmungen zur Anwendung der Standardvertragsklauseln.
„Sicherheitsvorfall(e)“ bezeichnet die Verletzung der Sicherheit, die zum versehentlichen oder unrechtmäßigen Verlust, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf von SnapLogic verarbeitete personenbezogene Daten des Kunden führt.
„Dienstleistungen“bezeichnet alle Dienstleistungen, die SnapLogic im Rahmen der Vereinbarung erbringt.
„Unterauftragsverarbeiter“bezeichnet die von SnapLogic autorisierten Auftragnehmer, Vertreter, Lieferanten und Drittanbieter (d. h. Unterauftragsverarbeiter), die personenbezogene Daten verarbeiten.

Datennutzung und -verarbeitung.
1. Der Kunde und SnapLogic vereinbaren Folgendes: (i) Der Kunde ist der Verantwortliche oder Auftragsverarbeiter für personenbezogene Daten, und SnapLogic ist der Auftragsverarbeiter oder Unterauftragsverarbeiter, je nach Fall; und (ii) dieser Nachtrag gilt nur insoweit, als SnapLogic im Rahmen der Erbringung der Dienste personenbezogene Daten im Auftrag des Kunden als Auftragsverarbeiter oder Unterauftragsverarbeiter verarbeitet. Soweit die Parteien geschäftliche Kontaktdaten austauschen, um ihre Geschäftsbeziehung aufrechtzuerhalten, ist jede Partei ein eigenständiger Verantwortlicher für diese personenbezogenen Daten.
2. Der Kunde erklärt sich damit einverstanden, dass: (i) er alle erforderlichen Einwilligungen eingeholt oder sichergestellt hat, dass er über andere rechtmäßige Rechtsgrundlagen (sofern zutreffend), Genehmigungen und Rechte verfügt, und alle gemäß den geltenden Datenschutzgesetzen erforderlichen Mitteilungen bereitgestellt hat, damit SnapLogic personenbezogene Daten gemäß dieser Vereinbarung rechtmäßig verarbeiten kann, einschließlich, aber nicht beschränkt auf die Weitergabe und/oder den Empfang personenbezogener Daten durch den Kunden an bzw. von Dritten über die Dienste; (ii) er die geltenden Datenschutzgesetze einhalten wird und für deren Einhaltung durch seine verbundenen Unternehmen und Nutzer verantwortlich ist; und (iii) seine Verarbeitungsanweisungen an SnapLogic mit den geltenden Datenschutzgesetzen und gegebenenfalls allen Anweisungen von dritten Verantwortlichen im Einklang stehen.
3. Einhaltung von Gesetzen. Personenbezogene Daten werden in Übereinstimmung mit den Bestimmungen dieser DPA und allen geltenden Datenschutzgesetzen verarbeitet.
4. Dokumentierte Anweisungen. SnapLogic und seine Unterauftragsverarbeiter verarbeiten personenbezogene Daten nur gemäß den dokumentierten Anweisungen des Kunden oder wie ausdrücklich in dieser DPA, der Vereinbarung oder einer geltenden Leistungsbeschreibung genehmigt. SnapLogic wird, sofern dies nicht gesetzlich verboten ist, den Kunden schriftlich informieren, wenn es Grund zu der Annahme hat, dass ein Konflikt zwischen den Anweisungen des Kunden und geltendem Recht besteht, oder wenn es anderweitig versucht, personenbezogene Daten in einer Weise zu verarbeiten, die nicht mit den Anweisungen des Kunden vereinbar ist.
5. Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Soweit dies zur Erfüllung der vertraglichen Verpflichtungen von SnapLogic gemäß der Vereinbarung oder einer Leistungsbeschreibung erforderlich ist, ermächtigt der Kunde SnapLogic hiermit, Unterauftragsverarbeiter zu beauftragen. Die Verarbeitung personenbezogener Daten durch Unterauftragsverarbeiter muss mit den dokumentierten Anweisungen des Kunden übereinstimmen und allen geltenden Datenschutzgesetzen entsprechen.
6. SnapLogic und die Einhaltung der Vorschriften durch Unterauftragsverarbeiter. SnapLogic verpflichtet sich, (i) mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung über die Verarbeitung personenbezogener Daten zu schließen, die diesem Unterauftragsverarbeiter Datenschutz- und Sicherheitsanforderungen für personenbezogene Daten auferlegt, die mit den geltenden Datenschutzgesetzen konform sind, und (ii) gegenüber dem Kunden weiterhin für die Nichterfüllung der Verpflichtungen der Unterauftragsverarbeiter von SnapLogic in Bezug auf die Verarbeitung personenbezogener Daten gemäß diesen Anweisungen, der Vereinbarung und dieser DPA verantwortlich zu bleiben.
7. Widerspruchsrecht gegen Unterauftragsverarbeiter. SnapLogic führt unter https://www.snaplogic.com/privacy-subprocessors eine Liste der Unterauftragsverarbeiter für die Dienste, die vom Kunden bereitgestellte personenbezogene Daten verarbeiten („Liste der Unterauftragsverarbeiter“). Diese Seite enthält eine Abonnementfunktion, über die Benachrichtigungen über neue Unterauftragsverarbeiter empfangen werden können. SnapLogic wird abonnierte Kunden mindestens dreißig (30) Tage im Voraus über neue Unterauftragsverarbeiter informieren, bevor diese neuen Unterauftragsverarbeiter zur Verarbeitung personenbezogener Daten über die Dienste autorisiert werden. Hat der Kunde berechtigte Einwände gegen die Beauftragung eines neuen Unterauftragsverarbeiters, werden die Parteien bis zu dreißig (30) Tage lang in gutem Glauben zusammenarbeiten, um die Gründe für den Einwand auszuräumen; sollte eine solche Einigung nicht zustande kommen, kann der Kunde den Teil des Dienstes kündigen, der im Rahmen des Vertrags erbracht wird und von SnapLogic nicht ohne den Einsatz des beanstandeten Unterauftragsverarbeiters erbracht werden kann. SnapLogic erstattet dem Kunden etwaige im Voraus gezahlte Gebühren anteilig für den gekündigten Teil des Dienstes.
8. Vertraulichkeit. Jede Person oder jeder Unterauftragsverarbeiter, die bzw. der zur Verarbeitung personenbezogener Daten befugt ist, muss sich zur Wahrung der Vertraulichkeit dieser Informationen verpflichten oder einer entsprechenden ethischen, gesetzlichen oder vertraglichen Vertraulichkeitsverpflichtung unterliegen.
9. Anfragen und Anträge zu personenbezogenen Daten. SnapLogic verpflichtet sich, alle angemessenen Anweisungen des Kunden im Zusammenhang mit Anträgen von Personen/betroffenen Personen zu befolgen, die ihre Rechte in Bezug auf personenbezogene Daten ausüben, die ihnen gemäß den geltenden Datenschutzgesetzen gewährt werden („Datenschutzantrag“). Auf Wunsch des Kunden und ohne unangemessene Verzögerung verpflichtet sich SnapLogic, den Kunden bei der Beantwortung oder Erfüllung von Datenschutzanträgen so weit wie möglich zu unterstützen.
10. Datenschutz-Folgenabschätzung und vorherige Konsultation. SnapLogic verpflichtet sich, dem Kunden auf dessen Kosten angemessene Unterstützung zu leisten, wenn nach Einschätzung des Kunden die Art der von SnapLogic durchgeführten Verarbeitung wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstellt (z. B. systematisches und umfangreiches Profiling, Verarbeitung sensibler personenbezogener Daten in großem Umfang oder systematische Überwachung in großem Umfang oder wenn bei der Verarbeitung neue Technologien zum Einsatz kommen) und daher eine Datenschutz-Folgenabschätzung und/oder vorherige Konsultation der zuständigen Datenschutzbehörden erforderlich ist.
11. Nachweisbare Compliance. SnapLogic verpflichtet sich, Aufzeichnungen über seine Verarbeitung gemäß den geltenden Datenschutzgesetzen zu führen und dem Kunden auf angemessene Anfrage alle erforderlichen Aufzeichnungen zur Verfügung zu stellen, um die Einhaltung der Vorschriften nachzuweisen.
12. Anforderungen des CPRA. In Bezug auf personenbezogene Daten, auf die das CPRA Anwendung findet (die in diesem Abschnitt verwendeten Begriffe in Großbuchstaben haben die im CPRA festgelegten Bedeutungen), wird SnapLogic Folgendes NICHT tun:
  - Kundenpersonenbezogene Daten zu verkaufen oder weiterzugeben;
  - Kundenpersonenbezogene Daten zu speichern, zu verwenden oder weiterzugeben, außer für die im Vertrag festgelegten geschäftlichen Zwecke, es sei denn, dies ist gemäß dem CCPA ausdrücklich zulässig;
  - Kundenpersonenbezogene Daten außerhalb der direkten Geschäftsbeziehung zwischen dem Kunden und SnapLogic zu speichern, zu verwenden oder weiterzugeben; oder
  - Kundenpersonenbezogene Daten mit personenbezogenen Daten zu kombinieren, die das Unternehmen von einer oder mehreren anderen Personen oder in deren Auftrag erhält oder im Rahmen seiner eigenen Interaktion mit dem Verbraucher erhebt, es sei denn, dies dient der Erfüllung eines Geschäftszwecks im Sinne der gemäß CPRA § 1798.185(a)(10) erlassenen Vorschriften.

Ungeachtet des Vorstehenden schränkt keine Bestimmung dieser DPA die Befugnis von SnapLogic ein, personenbezogene Daten offenzulegen, um geltende Gesetze einzuhalten; sofern eine solche Offenlegung erforderlich ist, wird SnapLogic den Kunden unverzüglich über die Aufforderung zur Offenlegung informieren, es sei denn, eine solche Benachrichtigung ist nach geltendem Recht oder aufgrund einer rechtsverbindlichen Anordnung untersagt, oder an einen Unterauftragsverarbeiter im Zusammenhang mit einem geschäftlichen Zweck und in Übereinstimmung mit den vorstehenden Bestimmungen zu Unterauftragsverarbeitern. SnapLogic bestätigt hiermit, dass es die hierin dargelegten Verpflichtungen versteht und diese einhalten wird.

Grenzüberschreitende Übermittlung personenbezogener Daten.
1. Einwilligung. SnapLogic darf personenbezogene Daten ohne die vorherige schriftliche Einwilligung des Kunden nicht an einen Ort außerhalb des Europäischen Wirtschaftsraums oder des Vereinigten Königreichs übermitteln oder dort verarbeiten, es sei denn, dies erfolgt in Übereinstimmung mit Abschnitt 4(b) unten (jeweils eine„Übermittlung“).
2. Konforme Übertragungsmechanismen. Unbeschadet des Vorstehenden stimmt der Kunde Übertragungen zu, bei denen SnapLogic eine Übertragungslösung implementiert hat, die den geltenden Datenschutzgesetzen entspricht, darunter beispielsweise: (a) wenn eine solche Übertragung einer Angemessenheitsentscheidung der Europäischen Kommission unterliegt; (b) die Standardvertragsklauseln; (c) das vom US-Handelsministerium (und gegebenenfalls dessen Nachfolger) verwaltete Datenschutz-Rahmenwerk; (d) eine andere geeignete Schutzmaßnahme gemäß Artikel 46 der DSGVO oder eine gleichwertige Schutzmaßnahme gemäß der DSGVO, dem Schweizer Datenschutzgesetz oder dem britischen Datenschutzgesetz; oder (e) eine Ausnahmeregelung gemäß Artikel 49 der DSGVO oder einer gleichwertigen Regelung gemäß dem Schweizer Datenschutzgesetz oder dem britischen Datenschutzgesetz.

Programm zur Informationssicherheit.
1. SnapLogic verpflichtet sich, angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten zu ergreifen, wie dies nach den geltenden Datenschutzgesetzen vorgeschrieben ist (die „Programm zur Informationssicherheit“). Zu diesen Maßnahmen gehören:
  - gegebenenfalls Pseudonymisierung personenbezogener Daten sowie Verschlüsselung personenbezogener Daten sowohl bei der Übertragung als auch im Ruhezustand;
  - Die Fähigkeit, die fortwährende Vertraulichkeit, Integrität und Verfügbarkeit der Verarbeitung und der personenbezogenen Daten von SnapLogic zu gewährleisten;
  - die Fähigkeit, im Falle eines physischen oder technischen Vorfalls die Verfügbarkeit und den Zugriff auf personenbezogene Daten wiederherzustellen; und
  - Ein Verfahren zur regelmäßigen Bewertung und Überprüfung der Wirksamkeit des Informationssicherheitsprogramms von SnapLogic, um die Sicherheit personenbezogener Daten vor begründeten Verdachtsfällen oder tatsächlichen versehentlichen oder unrechtmäßigen Zerstörungen, Verlusten, Veränderungen, unbefugten Offenlegungen oder Zugriffen zu gewährleisten.
Sicherheitsvorfälle.
1. Verfahren bei Sicherheitsvorfällen. SnapLogic befolgt Richtlinien und Verfahren zur Erkennung, Reaktion und sonstigen Behandlung von Sicherheitsvorfällen, einschließlich Verfahren zur (i) Identifizierung und Reaktion auf begründete Verdachtsfälle oder bekannte Sicherheitsvorfälle, zur Minderung der schädlichen Auswirkungen von Sicherheitsvorfällen, zur Dokumentation von Sicherheitsvorfällen und deren Folgen sowie zur (ii) zeitnahen Wiederherstellung der Verfügbarkeit von oder des Zugriffs auf personenbezogene Daten.
2. Benachrichtigung. SnapLogic verpflichtet sich, den vom Kunden benannten Ansprechpartner (wie in Abschnitt 9 definiert) unverzüglich und ohne unnötige Verzögerung sowie innerhalb der nach den geltenden Datenschutzgesetzen vorgeschriebenen Frist (in keinem Fall jedoch später als achtundvierzig (48) Stunden) schriftlich zu benachrichtigen, sobald SnapLogic Kenntnis davon erlangt, dass ein Sicherheitsvorfall eingetreten ist. Diese Benachrichtigung enthält alle verfügbaren Angaben, die gemäß den geltenden Datenschutzgesetzen erforderlich sind, damit der Kunde seinen eigenen Meldepflichten gegenüber den Aufsichtsbehörden oder den von dem Sicherheitsvorfall betroffenen Personen nachkommen kann.
Prüfungen.
1. Recht auf Prüfung; zulässige Prüfungen. Zusätzlich zu den anderen in der Vereinbarung beschriebenen Prüfungsrechten haben der Kunde und seine Aufsichtsbehörden das Recht auf eine Vor-Ort-Prüfung der Architektur, Systeme, Richtlinien und Verfahren von SnapLogic, die für die Sicherheit und Integrität personenbezogener Daten relevant sind, oder wie anderweitig von einer staatlichen Aufsichtsbehörde vorgeschrieben:
  - Nach einer Mitteilung von SnapLogic an den Kunden über einen Sicherheitsvorfall im Zusammenhang mit personenbezogenen Daten, für den SnapLogic verantwortlich ist;
  - Gemäß den Anforderungen der staatlichen Aufsichtsbehörden; und
  - Auf Anfrage des Kunden, höchstens einmal pro Jahr (oder häufiger, falls dies von den zuständigen Aufsichtsbehörden vorgeschrieben ist oder nach einem Sicherheitsvorfall erforderlich ist), und vorbehaltlich angemessener Fristen, Einschränkungen hinsichtlich Zeit, Ort, Häufigkeit und Art sowie Vertraulichkeitsanforderungen wird SnapLogic dem Kunden die Informationen zur Verfügung stellen, die erforderlich sind, um die Einhaltung der Verpflichtungen von SnapLogic gemäß dem Nachtrag und den geltenden Datenschutzgesetzen nachzuweisen. SnapLogic wird Audits, einschließlich Inspektionen, die vom Kunden oder einem vom Kunden beauftragten unabhängigen externen Prüfer durchgeführt werden, zulassen und daran mitwirken. Soweit die Rechte des Kunden gemäß diesem Abschnitt nicht in angemessener Weise durch Auditberichte, Dokumentation oder Compliance-Informationen erfüllt werden können, die SnapLogic seinen Kunden allgemein zur Verfügung stellt, trägt der Kunde alle Kosten und Gebühren im Zusammenhang mit einem solchen Audit.
2. Prüfungsbedingungen. Alle in diesem Abschnitt beschriebenen Prüfungen müssen:
  - Durchgeführt vom Kunden oder seiner Aufsichtsbehörde oder durch einen von einer dieser Parteien ausgewählten unabhängigen Drittanbieter;
  - Durchgeführt während der üblichen Geschäftszeiten von SnapLogic;
  - Nach angemessener Vorankündigung gegenüber SnapLogic durchgeführt; und
  - Von angemessener Dauer und darf den täglichen Betrieb von SnapLogic nicht unangemessen beeinträchtigen.
3. Dritte. Falls der Kunde eine Prüfung durch einen unabhängigen externen Prüfer durchführen lässt oder ein Dritter den Kunden begleitet oder an einer solchen Prüfung teilnimmt, muss dieser Dritte eine Geheimhaltungsvereinbarung unterzeichnen, die im Wesentlichen ähnliche Vertraulichkeitsklauseln wie die in der Vereinbarung enthaltenen Klauseln umfasst, um die vertraulichen und geschützten Informationen von SnapLogic und den Kunden von SnapLogic zu schützen. In jedem Fall hat SnapLogic Anspruch auf eine Kopie des Prüfungsberichts. Aufsichtsbehörden sind nicht verpflichtet, eine Geheimhaltungsvereinbarung abzuschließen.
Datenspeicherung und -löschung.
1. Datenspeicherung. SnapLogic speichert oder bewahrt keine personenbezogenen Daten auf, es sei denn, dies ist für die Erbringung der vertraglich vereinbarten Dienstleistungen erforderlich.
2. Zugriff auf Daten und Löschung nach Vertragsende. Nach Ablauf oder Beendigung des Vertrags ermöglicht SnapLogic dem Kunden auf dessen schriftlichen Antrag, der innerhalb von 30 Tagen nach der Beendigung oder dem Ablauf zu stellen ist, alle im System von SnapLogic verbliebenen Kundendaten oder Transaktionsprotokolldaten abzurufen.
Kontaktdaten.
1. SnapLogic und der Kunde vereinbaren, einen Ansprechpartner für dringende Datenschutz- und Sicherheitsangelegenheiten zu benennen (ein„benannter Ansprechpartner“). Der benannte Ansprechpartner von SnapLogic lautet [email protected]. Der benannte Ansprechpartner des Kunden ist im Bestellformular angegeben.
Allgemeine Bedingungen.
1. Diese DPA ist Teil der Vereinbarung und unterliegt deren Bedingungen, einschließlich der Haftungsbeschränkungen.
2. Diese DPA unterliegt den Bestimmungen des geltenden Rechts und der Gerichtsbarkeit gemäß der Vereinbarung und wird entsprechend ausgelegt, sofern in Anhang B nichts anderes angegeben ist.

Beilage A

Kategorien von betroffenen Personen	Interessenten, Kunden, Geschäftspartner und Lieferanten des Kunden (die natürliche Personen sind) Mitarbeiter oder Ansprechpartner der Interessenten, Kunden, Geschäftspartner und Lieferanten des Kunden Mitarbeiter, Beauftragte, Berater und Freiberufler des Kunden (die natürliche Personen sind) Nutzer des Kunden, die vom Kunden zur Nutzung der Dienste autorisiert wurden
Kategorien der übermittelten personenbezogenen Daten	Name, E-Mail-Adresse, Standortdaten (z. B. die Standortdatenfunktion eines Mobiltelefons); IP-Adresse; Cookie-ID; ID des Mobilgeräts Alle weiteren Kategorien personenbezogener Daten, die der Kunde zur Verarbeitung über die Dienste ausgewählt hat
Rollen des Verantwortlichen und des Auftragsverarbeiters	Verantwortlicher (Kunde) an Auftragsverarbeiter (Anbieter) oder Auftragsverarbeiter (Kunde) an Unterauftragsverarbeiter (Anbieter)
Übertragung sensibler Daten	Der Dienst erfordert keine sensiblen personenbezogenen Daten von Mitarbeitern des Kunden. Sollte der Kunde sich dafür entscheiden, sensible personenbezogene Daten über seine Datenpipeline zu verarbeiten, werden diese Daten verarbeitet
Häufigkeit der Übertragung	Kontinuierlich
Art der Verarbeitung	Zur Erbringung der in der zugrunde liegenden Vereinbarung beschriebenen Dienstleistungen
Zweck der Übertragung	Zur Erbringung der in der zugrunde liegenden Vereinbarung beschriebenen Dienstleistungen
Dauer der Verarbeitung	Während der Laufzeit des Basisvertrags

Beilage B

Standardvertragsklauseln

[Einbeziehung von MODUL ZWEI: Übertragung von Controller zu Prozessor und MODUL DREI: Übertragung von Prozessor zu Prozessor]

Mit dem Abschluss dieser DPA gelten die Parteien als Unterzeichner der Standardvertragsklauseln und ihrer geltenden Anhänge.
Für grenzüberschreitende Datenübermittlungen, die Standardvertragsklauseln unterliegen, gelten die Standardvertragsklauseln als vereinbart und durch diesen Verweis in diese DPA aufgenommen und wie folgt ergänzt:
1. Der Kunde ist der „Exporteur“, dessen Kontaktdaten unten angegeben sind.
2. SnapLogic ist der „Importeur“, dessen Kontaktdaten unten angegeben sind.
3. Modul Zwei gilt, soweit der Kunde für die Verarbeitung der personenbezogenen Daten verantwortlich ist, und Modul Drei gilt, soweit der Kunde im Auftrag eines dritten Verantwortlichen als Auftragsverarbeiter für die personenbezogenen Daten tätig ist.
4. In Klausel 7 findet die optionale Andockklausel keine Anwendung.
5. In Ziffer 9 gilt Option 2, und die Frist für die vorherige Ankündigung von Änderungen bei Unterauftragsverarbeitern richtet sich nach Ziffer 9 dieser DPA;
6. In Klausel 11 findet die fakultative Formulierung keine Anwendung.
7. Die Anhänge I bis III gelten mit den in den Anhängen I bis III dieser DPA enthaltenen Informationen als vervollständigt.

EU-StandardvertragsklauselnPersonenbezogene Daten aus der Europäischen Union unterliegen den SCC gemäß den oben genannten Bestimmungen und werden wie folgt ergänzt:
1. In Klausel 17 gilt Option 1, und die EU-SCCs unterliegen irischem Recht.
2. In Klausel 18(b) wird festgelegt, dass Streitigkeiten vor den Gerichten der Republik Irland beigelegt werden.

UK SCCsDie Übermittlung personenbezogener Daten aus dem Vereinigten Königreich unterliegt den SCC gemäß den oben genannten Bestimmungen und dem UK International Data Transfer Addendum (dem „IDTA”), wie folgt ergänzt.
1. In Teil 1 der IDTA sind die in den Tabellen 1 bis 3 geforderten Informationen in der Vereinbarung und dieser DPA enthalten.
2. Die obligatorischen Klauseln der IDTA werden gemäß Alternativteil 2 der IDTA-Vorlage durch Verweis in diese DPA aufgenommen.
3. Verweise auf die EU, die Mitgliedstaaten und die DSGVO werden entsprechend geändert, um sich auf das Vereinigte Königreich und das britische Datenschutzgesetz zu beziehen.
4. In Klausel 17 der Standardvertragsklauseln (geltendes Recht) gilt das Recht von England und Wales, und in Klausel 18 (Gerichtsstand und Gerichtsbarkeit) sind die Gerichte in London, England, zuständig. Eine betroffene Person kann auch vor den Gerichten im Vereinigten Königreich rechtliche Schritte gegen den Datenexporteur und/oder Datenimporteur einleiten.
Schweizer SCCsDie Übermittlung personenbezogener Daten aus der Schweiz unterliegt den SCC gemäß den oben genannten Bestimmungen und erfolgt wie folgt:
1. Verweise auf die „Verordnung (EU) 2016/679“ in den EU-SCC gelten als Verweise auf das Schweizer Datenschutzgesetz.
2. Verweise auf bestimmte Artikel der „Verordnung (EU) 2016/679“ gelten als durch den entsprechenden Artikel oder Abschnitt des Schweizer Datenschutzgesetzes ersetzt.
3. Verweise auf „EU“, „Union“ und „Mitgliedstaat“ gelten als durch „Schweiz“ ersetzt.
4. Verweise auf die „zuständige Aufsichtsbehörde“ und „zuständige Gerichte“ werden durch „Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter“ und „zuständige Gerichte der Schweiz“ (sofern zutreffend) ersetzt.
5. In Klausel 17 wird festgelegt, dass die EU-SCCs dem Recht der Schweiz unterliegen, und
6. Gemäß Klausel 18(b) werden Streitigkeiten vor den zuständigen Gerichten der Schweiz beigelegt.
Sollte eine Bestimmung der Vereinbarung (einschließlich dieser DPA) direkt oder indirekt im Widerspruch zu den Standardvertragsklauseln stehen, haben die Standardvertragsklauseln Vorrang.

ANHANG I

A. LISTE DER PARTEIEN

Verantwortliche(r) / Datenexporteur(e): Identität und Kontaktdaten des/der Verantwortlichen / des/der Datenexporteure(s) sowie gegebenenfalls seines/ihrer Datenschutzbeauftragten und/oder seines/ihrer Vertreters in der Europäischen Union

Name:	Wie vom Kunden angegeben
Adresse:	Wie vom Kunden angegeben
Name, Position und Kontaktdaten der Kontaktperson:	Wie vom Kunden angegeben
Aktivitäten, die für die gemäß diesen Klauseln übermittelten Daten relevant sind:	Wie in der Vereinbarung beschrieben
Rolle (Verantwortlicher/Auftragsverarbeiter):	Controller/Prozessor

Auftragsverarbeiter / Datenimporteur(e):Identität und Kontaktdaten des/der Auftragsverarbeiter(s) / Datenimporteur(s), einschließlich etwaiger Ansprechpartner, die für den Datenschutz verantwortlich sind

Name:	SnapLogic, Inc.
Adresse:	1825 S. Grant Street,^5. Stock, San Mateo, Kalifornien 94402, USA
Name, Position und Kontaktdaten der Kontaktperson:	[email protected]
Aktivitäten, die für die gemäß diesen Klauseln übermittelten Daten relevant sind:	Bereitstellung der in der Vereinbarung beschriebenen Dienstleistungen
Rolle (Verantwortlicher/Auftragsverarbeiter):	Prozessor/Unterprozessor

В. BESCHREIBUNG DER ÜBERTRAGUNG

Wie in Anlage A beschrieben

C. ZUSTÄNDIGE AUFSICHTSBEHÖRDE

Wie in Anlage B beschrieben

ANHANG II

TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN, EINSCHLIESSLICH TECHNISCHER UND ORGANISATORISCHER MASSNAHMEN ZUR GEWÄHRLEISTUNG DER DATENSICHERHEIT

Der Datenimporteur unterhält und setzt technische und organisatorische Maßnahmen nach dem Branchenstandard durch, um personenbezogene Daten vor versehentlicher oder unrechtmäßiger Vernichtung oder versehentlichem Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff zu schützen und ein Sicherheitsniveau zu gewährleisten, das dem Risiko der Verarbeitung personenbezogener Daten angemessen ist und im Einklang mit seinen Verpflichtungen aus der Vereinbarung und der DSGVO steht. Zu diesen Maßnahmen gehört ein umfassendes Informationssicherheitsprogramm, das administrative, physische und technische Sicherheitsvorkehrungen zum Schutz der Sicherheit, Vertraulichkeit und Integrität personenbezogener Daten umfasst, die der Art der vom Datenimporteur zu verarbeitenden Informationen angemessen sind. Der Datenimporteur hat die Einhaltung dieser Sicherheitsvorkehrungen regelmäßig zu überwachen.

Die wesentlichen technischen und organisatorischen Sicherheitsmaßnahmen, die der Datenimporteur zum Zeitpunkt der Unterzeichnung umgesetzt hat, sind im aktuellsten SOC-2-Typ-II-Prüfbericht des Datenimporteurs beschrieben, der dem Datenexporteur auf Anfrage zur Verfügung gestellt wird.

Um das Risiko für die Ressourcen zur Informationsverarbeitung, die unbefugte Offenlegung oder Löschung von Informationen sowie die Unterbrechung der Unterstützung von Geschäftsprozessen, die durch unbefugten Zugriff entstehen können, zu mindern, werden in den folgenden Abschnitten die vom Datenimporteur implementierten Sicherheitskontrollen beschrieben:

Organisatorische Kontrollmaßnahmen – Maßnahmen, die den spezifischen Anforderungen des Datenschutzes hinsichtlich der internen Organisation entsprechen, wie z. B. die Verpflichtung der Mitarbeiter zur Geheimhaltung von Daten, die Datensicherung bzw. -löschung sowie die räumliche und personelle Trennung der Daten von denen anderer Kunden usw.
Zugangskontrolle – Maßnahmen zur Beschränkung des Zugangs unbefugter Personen zu Bereichen, in denen personenbezogene Daten genutzt oder verarbeitet werden, wie z. B. Zugangskontrolle, Ausweise/Chipkarten usw.
Zugriffskontrolle – Maßnahmen zur Einschränkung des Zugriffs unbefugter Personen auf Systeme, in denen personenbezogene Daten verwendet oder verarbeitet werden, wie z. B. der Schutz der physischen Netzwerkinfrastruktur, Firewalls usw.
Zugriffskontrolle – Maßnahmen zur Einschränkung des Zugriffs unbefugter Personen auf Systeme, in denen personenbezogene Daten verwendet oder verarbeitet werden, wie z. B. die Anwendung des Prinzips der geringsten Berechtigungen bzw. einer selektiven Zugriffspolitik, der Einsatz von Verschlüsselung, die Protokollierung von Prüfvorgängen, individuelle Benutzerkennungen und sichere Passwörter sowie festgelegte Verfahren für die Erteilung, Änderung und den Entzug von Zugriffsrechten usw.
Übertragungskontrolle – Maßnahmen, die sicherstellen, dass personenbezogene Daten nicht unbefugt gelesen, kopiert, verändert oder gelöscht werden können, wie z. B. die Verschlüsselung sowohl im Ruhezustand als auch während der Übertragung sowie die Protokollierung von Prüfvorgängen, um nachträglich nachvollziehen zu können, welche Daten von wem abgerufen wurden usw.
Verfügbarkeitskontrolle – Maßnahmen zur Gewährleistung, dass personenbezogene Daten vor versehentlicher Vernichtung oder Verlust geschützt sind, wie z. B. Ausfallsicherungsfunktionen, regelmäßig getestete Sicherungskopien, die an mehreren Standorten gespeichert werden, sowie ein Notfallwiederherstellungsplan, ein Änderungsmanagementprozess usw.
Trennungskontrolle – Maßnahmen, die sicherstellen, dass für unterschiedliche Zwecke erhobene Daten getrennt verarbeitet werden können, wie z. B. die Verwendung separater Benutzerrollen, die logische/physische Trennung von Daten usw.

ANHANG III

LISTE DER UNTERAUFTRAGNEHMER

Der Kunde hat die Beauftragung der folgenden Unterauftragsverarbeiter genehmigt: https://www.snaplogic.com/privacy-subprocessors