MSP-Vereinbarung zur Datenverarbeitung

Diese Vereinbarung zur Datenverarbeitung („Vereinbarung“) ist Teil der Managed Services Provider-Vereinbarung (die „Hauptvereinbarung“) zwischen Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz, Unternehmens-Identifikationsnummer CHE-354.686.492 (im Folgenden als „Auftragsverarbeiter“ bezeichnet) und dem in der Hauptvereinbarung genannten MSP (im Folgenden als „Unternehmen“ bezeichnet, worunter der Managed Services Provider zu verstehen ist, der die Dienste nutzt, um seine eigenen verwalteten Kunden unabhängig von seiner Rechtsform bereitzustellen, abzurechnen und zu unterstützen).

Diese Vereinbarung regelt die spezifischen Anforderungen der Datenschutzgesetze, soweit die Nutzung der Dienste durch das Unternehmen, einschließlich der Bereitstellung der Dienste an verwaltete Kunden durch das Unternehmen, die Verarbeitung personenbezogener Daten impliziert, die den Datenschutzgesetzen unterliegen.

Die Laufzeit dieser Vereinbarung folgt der Laufzeit der Hauptvereinbarung. Begriffe, die hierin nicht definiert sind, haben die in der Hauptvereinbarung festgelegte Bedeutung.

PRÄAMBEL

A) Das Unternehmen handelt als Datenverantwortlicher oder, wenn ein verwalteter Kunde selbst die Verarbeitung seiner eigenen personenbezogenen Daten anweist, als Auftragsverarbeiter im Auftrag dieses verwalteten Kunden (in beiden Fällen der „Verantwortliche“).

B) Das Unternehmen möchte bestimmte Dienste, die die Verarbeitung personenbezogener Daten implizieren, an die als Auftragsverarbeiter handelnde Proton AG vergeben (der „Auftragsverarbeiter“).

C) Die Parteien beabsichtigen, eine Vereinbarung zur Datenverarbeitung umzusetzen, die den Anforderungen des aktuellen rechtlichen Rahmens in Bezug auf die Datenverarbeitung entspricht, einschließlich der Verordnung (EU) 2016/679 (die „GDPR“) und des Schweizer Bundesgesetzes über den Datenschutz („DSG“) sowie anderer anwendbarer Datenschutzgesetze.

D) Die Parteien möchten ihre jeweiligen Rechte und Pflichten festlegen.

ES WIRD WIE FOLGT VEREINBART:

1. Definitionen, Rollen und Geltungsbereich

1.1 Definitionen. Sofern hierin nicht anders definiert, haben großgeschriebene Begriffe die in der Hauptvereinbarung festgelegte Bedeutung oder, falls dort nicht definiert, die folgende Bedeutung:

• „Personenbezogene Daten des Unternehmens“ bezeichnet alle personenbezogenen Daten, die sich auf das Unternehmen, die verwalteten Kunden des Unternehmens oder deren jeweilige Kunden oder Mitarbeiter beziehen und im Zusammenhang mit der Hauptvereinbarung verarbeitet werden.
• „Vertraglicher Auftragsverarbeiter“ bezeichnet einen Unterauftragsverarbeiter.
• „Datenschutzgesetze“ bezeichnet die GDPR, das DSG und, soweit anwendbar, die Datenschutz- oder Privatsphäregesetze jedes anderen Landes.
• „Datenübertragung“ bezeichnet (i) eine Übertragung von personenbezogenen Daten des Unternehmens vom Unternehmen an den Auftragsverarbeiter oder einen vertraglichen Auftragsverarbeiter, oder (ii) eine Weiterübertragung von personenbezogenen Daten des Unternehmens vom Auftragsverarbeiter an einen Unterauftragsverarbeiter oder zwischen zwei Niederlassungen eines Unterauftragsverarbeiters.
• „Verwalteter Kunde“ hat die in der Hauptvereinbarung angegebene Bedeutung: ein Endnutzer-Unternehmen, für das das Unternehmen die Dienste als Teil seines eigenen Managed-Service-Angebots bereitstellt und erbringt.
• „Unterauftragsverarbeiter“ bezeichnet jede Person, die vom Auftragsverarbeiter oder in dessen Auftrag ernannt wurde, um personenbezogene Daten im Zusammenhang mit der Vereinbarung zu verarbeiten.
• Die Begriffe „Kommission“, „Verantwortlicher“, „Betroffene Person“, „Mitgliedstaat“, „personenbezogene Daten“, „Datenleck“, „Verarbeitung“ und „Aufsichtsbehörde“ haben dieselbe Bedeutung wie in der GDPR oder anderen anwendbaren Datenschutzgesetzen.

1.2 Rollen der Parteien. Im Verhältnis zwischen Proton und dem Unternehmen ist das Unternehmen der Verantwortliche (oder gegebenenfalls der Auftragsverarbeiter, der auf Anweisung eines verwalteten Kunden handelt) und Proton der Auftragsverarbeiter in Bezug auf alle im Rahmen der Hauptvereinbarung verarbeiteten personenbezogenen Daten des Unternehmens, einschließlich personenbezogener Daten von oder in Bezug auf verwaltete Kunden und deren jeweilige Endnutzer. Diese Vereinbarung ist die vollständige und ausschließliche Datenverarbeitungsvereinbarung zwischen Proton und jeder Partei in der Kette der verwalteten Kunden. Proton steht in keiner direkten vertraglichen Beziehung, Verantwortlicher-Auftragsverarbeiter- oder Auftragsverarbeiter-Unterauftragsverarbeiter-Beziehung zu einem verwalteten Kunden, und kein verwalteter Kunde ist Vertragspartei oder Drittbegünstigter dieser Vereinbarung. Das Unternehmen ist allein verantwortlich für seine Vereinbarungen mit und Verpflichtungen gegenüber seinen verwalteten Kunden, einschließlich aller Datenschutzbestimmungen, die das Unternehmen ihnen nach geltendem Recht oder Vertrag schuldet.

1.3 Nachgelagerte Verantwortung des Unternehmens. Das Unternehmen muss mit jedem verwalteten Kunden eine schriftliche Vereinbarung eingehen, die dem Unternehmen Datenschutzpflichten auferlegt, die die personenbezogenen Daten dieses verwalteten Kunden nicht weniger schützen als die Pflichten, die Proton gegenüber dem Unternehmen im Rahmen dieser Vereinbarung obliegen, soweit dies für die Art der Dienste gilt, die das Unternehmen für diesen verwalteten Kunden bereitstellt. Die Verpflichtungen von Proton aus dieser Vereinbarung gelten ausschließlich gegenüber dem Unternehmen; das Unternehmen bleibt im Verhältnis zwischen dem Unternehmen und seinen verwalteten Kunden für die Verarbeitung ihrer personenbezogenen Daten, einschließlich für Handlungen oder Unterlassungen von Proton, allein gegenüber seinen verwalteten Kunden haftbar.

2. Verarbeitung der unternehmenspersonenbezogenen Daten

Der Auftragsverarbeiter soll:

• alle anwendbaren Datenschutzgesetze bei der Verarbeitung personenbezogener Daten des Unternehmens einzuhalten; und
• personenbezogene Daten des Unternehmens nur nach dokumentierten Anweisungen des Unternehmens wie unten dargelegt zu verarbeiten.

Das Unternehmen weist den Auftragsverarbeiter an, personenbezogene Daten des Unternehmens zu verarbeiten, um:

• die Dienste und den zugehörigen technischen Support für das Unternehmen und über das Unternehmen für verwaltete Kunden bereitzustellen;
• gesetzliche Verpflichtungen zu erfüllen oder Streitigkeiten beizulegen;
• interne Aufgaben auszuführen, die auf die Optimierung der Sicherheit, Privatsphäre, Vertraulichkeit und Funktionalität der Dienste abzielen; und
• interne Berichterstattung, Finanzberichterstattung und andere ähnliche interne Aufgaben durchzuführen.

3. Personal des Auftragsverarbeiters

Der Auftragsverarbeiter unternimmt angemessene Schritte, um die Zuverlässigkeit von Mitarbeitern, Vertretern oder Auftragnehmern eines vertraglichen Auftragsverarbeiters sicherzustellen, die Zugriff auf personenbezogene Daten des Unternehmens haben könnten, wobei in jedem Fall sichergestellt wird, dass der Zugriff streng auf diejenigen Personen beschränkt ist, die die relevanten personenbezogenen Daten des Unternehmens kennen oder darauf zugreifen müssen, soweit dies für die Zwecke der Hauptvereinbarung und/oder zur Einhaltung der Datenschutzgesetze unbedingt erforderlich ist, und sichergestellt wird, dass alle diese Personen Vertraulichkeitsvereinbarungen oder beruflichen bzw. gesetzlichen Vertraulichkeitspflichten unterliegen.

4. Sicherheit

Gemäß Artikel 32(1) GDPR setzt der Auftragsverarbeiter angemessene technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung. Diese Maßnahmen dienen dem Schutz der Rechte und Freiheiten natürlicher Personen unter Berücksichtigung der Risiken unterschiedlicher Eintrittswahrscheinlichkeit und Schwere, einschließlich des Risikos eines Datenlecks. Das Unternehmen muss angemessene technische und organisatorische Maßnahmen für seine eigene Verarbeitung personenbezogener Daten des Unternehmens ergreifen, einschließlich der Verwaltung von Konten verwalteter Kunden über MSP-Administrator-Lizenzen, und sicherstellen, dass der Zugriff auf solche Konten auf Personal des Unternehmens beschränkt ist, das diesen benötigt, durch angemessene Authentifizierungskontrollen geschützt ist und unverzüglich widerrufen wird, wenn er nicht mehr erforderlich ist.

5. Unterauftragsverarbeitung

Vorbehaltlich dieser Vereinbarung erteilt das Unternehmen dem Auftragsverarbeiter die allgemeine Genehmigung, Unterauftragsverarbeiter zu beauftragen und personenbezogene Daten des Unternehmens an diese offenzulegen oder zu übertragen. Das Unternehmen nimmt die in der Datenschutzerklärung des Auftragsverarbeiters aufgeführte Liste der Unterauftragsverarbeiter zur Kenntnis und genehmigt diese im Verständnis darüber, dass diese Liste vom Auftragsverarbeiter von Zeit zu Zeit aktualisiert werden kann; in diesem Fall wird das Unternehmen gemäß dem Benachrichtigungsverfahren der Datenschutzerklärung informiert. Das Unternehmen ermächtigt den Auftragsverarbeiter ferner, personenbezogene Daten an jedes Unternehmen innerhalb seiner Unternehmensgruppe offenzulegen und zu übertragen. Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeiter einer Vereinbarung mit dem Auftragsverarbeiter unterliegen, die in Bezug auf den Schutz personenbezogener Daten des Unternehmens nicht weniger einschränkend und schützend ist als diese Vereinbarung, soweit dies auf die Art der von diesem Unterauftragsverarbeiter erbrachten Dienste anwendbar ist. Zur Klarstellung: Das Unternehmen ist kein Unterauftragsverarbeiter von Proton und dieser Abschnitt gilt nicht für die eigene Beauftragung von verwalteten Kunden oder Dritten durch das Unternehmen.

6. Rechte der Betroffenen

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter das Unternehmen in angemessener Weise bei der Erfüllung der Pflichten des Unternehmens zur Beantwortung von Anfragen zur Ausübung der Rechte betroffener Personen gemäß den Datenschutzgesetzen, einschließlich Anfragen, die das Unternehmen von oder im Namen eines verwalteten Kunden oder der eigenen Endnutzer dieses verwalteten Kunden erhält.

Der Auftragsverarbeiter soll:

• das Unternehmen unverzüglich benachrichtigen, wenn es eine Anfrage eines Betroffenen unter einem Datenschutzgesetz bezüglich der unternehmenspersonenbezogenen Daten erhält; und

• sicherstellen, dass er auf diese Anfrage nur nach dokumentierten Anweisungen des Unternehmens oder wie nach geltendem Recht erforderlich antwortet; in diesem Fall informiert der Auftragsverarbeiter das Unternehmen, soweit gesetzlich zulässig, vor der Beantwortung über diese gesetzliche Verpflichtung.

Das Unternehmen ist allein verantwortlich für die Beantwortung und Koordinierung mit jedem verwalteten Kunden bezüglich jeder Anfrage betroffener Personen in Bezug auf die personenbezogenen Daten dieses verwalteten Kunden; der Auftragsverarbeiter ist nicht verpflichtet, verwaltete Kunden direkt zu identifizieren oder mit ihnen zu kommunizieren.

7. Datenleck

Der Auftragsverarbeiter verwaltet jedes Datenleck in Übereinstimmung mit den geltenden Datenschutzgesetzen und seinen internen Verfahren für Datenlecks. Im Falle eines Datenlecks, das personenbezogene Daten des Unternehmens betrifft, benachrichtigt der Auftragsverarbeiter das Unternehmen unverzüglich und stellt ausreichende Informationen bereit, um es dem Unternehmen zu ermöglichen, seinen eigenen Verpflichtungen gemäß den Datenschutzgesetzen nachzukommen, einschließlich, falls zutreffend, der Information betroffener verwalteter Kunden und betroffener Personen. Der Auftragsverarbeiter kooperiert mit dem Unternehmen und unternimmt angemessene wirtschaftliche Schritte nach Anweisung des Unternehmens, um bei der Untersuchung, Minderung und Behebung jedes solchen Datenlecks zu unterstützen. Jede Partei trägt die Kosten für Untersuchung, Behebung, Minderung und sonstige damit verbundene Kosten in dem Maße, wie ein Datenleck von dieser Partei verursacht wurde. Jede Partei trägt die Kosten für Geldbußen, Strafen, Schadensersatz oder sonstige damit verbundene Beträge, die von einer zuständigen Aufsichtsbehörde verhängt werden, soweit diese aus einer eigenen Verletzung der Pflichten dieser Partei aus dieser Vereinbarung resultieren. Das Unternehmen ist allein verantwortlich für Benachrichtigungen über Datenlecks an seine verwalteten Kunden und deren betroffene Personen sowie für den Zeitpunkt und Inhalt dieser Benachrichtigungen.

8. Datenschutz-Folgenabschätzung und vorherige Konsultation

Der Auftragsverarbeiter unterstützt das Unternehmen in angemessener Weise bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden, die das Unternehmen vernünftigerweise als nach Artikel 35 oder 36 GDPR oder gleichwertigen Bestimmungen anderer Datenschutzgesetze erforderlich erachtet, jeweils ausschließlich in Bezug auf die Verarbeitung personenbezogener Daten des Unternehmens durch die vertraglichen Auftragsverarbeiter und unter Berücksichtigung der Art der Verarbeitung sowie der ihnen zur Verfügung stehenden Informationen.

9. Löschung oder Rückgabe von personenbezogenen Daten des Unternehmens

Bei Einstellung eines Dienstes, der die Verarbeitung personenbezogener Daten des Unternehmens beinhaltet, löscht der Auftragsverarbeiter alle personenbezogenen Daten des Unternehmens, soweit dies nach geltendem Recht zulässig ist und in Übereinstimmung mit den Allgemeinen Geschäftsbedingungen und der Datenschutzerklärung des Auftragsverarbeiters. Sollte das Unternehmen eine Kopie der personenbezogenen Daten des Unternehmens benötigen, muss es diese vor der Löschung anfordern; nach der Löschung gestellte Anfragen können nicht mehr berücksichtigt werden. Bei Beendigung der Hauptvereinbarung bleibt das Unternehmen im Verhältnis zwischen dem Unternehmen und diesem verwalteten Kunden allein verantwortlich für die Verwaltung der Löschung, Rückgabe oder Übertragung personenbezogener Daten eines verwalteten Kunden, im Einklang mit Abschnitt 5.4 der Hauptvereinbarung (Unterstützung beim Übergang).

10. Prüfrechte

Vorbehaltlich dieses Abschnitts 10 stellt der Auftragsverarbeiter dem Unternehmen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind, und gestattet und unterstützt Prüfungen, einschließlich Inspektionen, durch das Unternehmen oder einen vom Unternehmen beauftragten Prüfer in Bezug auf die Verarbeitung personenbezogener Daten des Unternehmens durch die vertraglichen Auftragsverarbeiter. Das Unternehmen darf seine Prüfrechte gemäß diesem Abschnitt nicht mehr als einmal pro Kalenderjahr ausüben, außer nach einem Datenleck oder einer Anweisung einer Aufsichtsbehörde. Das Unternehmen kündigt dem Auftragsverarbeiter seine Absicht zur Durchführung einer Prüfung mindestens sechzig (60) Tage im Voraus schriftlich an. Die Prüfung wird während der Geschäftszeiten des Auftragsverarbeiters durchgeführt, darf den Betriebsablauf des Auftragsverarbeiters nicht stören und muss den Schutz der personenbezogenen Daten des Unternehmens, des Auftragsverarbeiters und anderer betroffener Personen gewährleisten. Die Parteien vereinbaren im Voraus einvernehmlich Datum, Umfang, Dauer sowie die für die Prüfung geltenden Sicherheits- und Vertraulichkeitskontrollen; der Auftragsverarbeiter kann vor der Prüfung eine Vertraulichkeitsvereinbarung verlangen. Auskunfts- und Prüfrechte gemäß diesem Abschnitt entstehen nur insoweit, als diese Vereinbarung dem Unternehmen nicht anderweitig Auskunfts- und Prüfrechte einräumt, die den relevanten Anforderungen des Datenschutzrechts entsprechen. Wenn ein verwalteter Kunde im Rahmen der eigenen Sorgfaltspflichten des Unternehmens gegenüber diesem verwalteten Kunden Informationen über die Verarbeitung durch Proton anfordert, kann sich das Unternehmen auf diesen Abschnitt stützen, um die erforderlichen Informationen vom Auftragsverarbeiter zu erhalten und weiterzugeben, der verwaltete Kunde selbst hat jedoch kein unabhängiges Prüfrecht gegenüber dem Auftragsverarbeiter.

11. Datenübertragung

Soweit möglich, überträgt der Auftragsverarbeiter personenbezogene Daten des Unternehmens nur in Länder innerhalb der Schweiz, der EU und/oder Länder mit einem Angemessenheitsbeschluss oder genehmigt deren Übertragung, wie in Artikel 45 GDPR und Artikel 16 des Schweizer DSG vorgesehen. Werden im Rahmen dieser Vereinbarung verarbeitete personenbezogene Daten des Unternehmens aus der Schweiz, der EU oder einem Land mit einem Angemessenheitsbeschluss in ein Land außerhalb dieses Geltungsbereichs übertragen, stellen die Parteien sicher, dass die personenbezogenen Daten angemessen geschützt sind, indem sie sich, sofern nicht anders vereinbart, auf von der Schweiz, der EU und/oder dem Vereinigten Königreich genehmigte und jeweils aktuelle Standardvertragsklauseln oder andere durch Datenschutzgesetze vorgesehene Übertragungsmechanismen stützen. Der Auftragsverarbeiter ist befugt, solche Übertragungen an Unterauftragsverarbeiter durchzuführen, sofern unter Berücksichtigung der Art der Übertragung angemessene Garantien umgesetzt werden.

12. Allgemeine Bedingungen

12.1 Einhaltung geltender Gesetze. Der Auftragsverarbeiter verarbeitet personenbezogene Daten des Unternehmens in Übereinstimmung mit dieser Vereinbarung und den für seine Rolle im Rahmen dieser Vereinbarung geltenden Datenschutzgesetzen. Der Auftragsverarbeiter ist nicht für die Einhaltung von Datenschutzgesetzen verantwortlich, die ausschließlich aufgrund der jeweiligen Geschäftstätigkeit oder Branche für das Unternehmen oder einen verwalteten Kunden gelten.

12.2 Vertraulichkeit. Jede Partei behandelt alle Informationen, die sie im Zusammenhang mit dieser Vereinbarung über die andere Partei erhält, vertraulich und darf diese ohne vorherige schriftliche Zustimmung der anderen Partei weder nutzen noch offenlegen, es sei denn, (a) die Offenlegung ist gesetzlich vorgeschrieben oder (b) die Informationen sind ohne Verschulden der Parteien bereits öffentlich bekannt.

12.3 Mitteilungen. Mitteilungen im Rahmen dieser Vereinbarung erfolgen gemäß den Mitteilungsbestimmungen der Hauptvereinbarung. Mitteilungen an den Auftragsverarbeiter bezüglich Datenschutzangelegenheiten sind zusätzlich in Kopie an legal@proton.ch zu senden

12.4 Haftung. Die Haftung jeder Partei, die sich aus oder im Zusammenhang mit dieser Vereinbarung ergibt, unterliegt den Bestimmungen zur Haftungsbeschränkung der Hauptvereinbarung und ist entsprechend diesen begrenzt, einschließlich jeder darin festgelegten spezifischen Obergrenze für Verletzungen von Vertraulichkeits- und Datenschutzpflichten. Keine Bestimmung dieser Vereinbarung beschränkt die Haftung einer der Parteien für Geldbußen oder Strafen, die von einer zuständigen Aufsichtsbehörde direkt gegen sie wegen einer eigenen Verletzung anwendbarer Datenschutzgesetze durch diese Partei verhängt werden. Das Unternehmen erkennt an, dass es als einzige dem verwalteten Kunden gegenüberstehende Partei die alleinige Verantwortung für jegliche Haftung trägt, die dem Unternehmen gegenüber einem verwalteten Kunden entsteht und die den Betrag übersteigt, den das Unternehmen im Rahmen der Haftungsobergrenze der Hauptvereinbarung vom Auftragsverarbeiter zurückfordern kann.

12.5 Anwendbares Recht und Gerichtsstand. Diese Vereinbarung unterliegt schweizerischem Recht unter Ausschluss des Kollisionsrechts anderer Gerichtsbarkeiten, und Streitigkeiten, die sich aus oder im Zusammenhang mit dieser Vereinbarung ergeben, unterliegen der ausschließlichen Zuständigkeit der Gerichte von Genf, Schweiz.

12.6 Rangfolge. Im Falle von Widersprüchen zwischen dieser Vereinbarung und der Hauptvereinbarung in Bezug auf die Verarbeitung personenbezogener Daten hat diese Vereinbarung im Einklang mit Abschnitt 10.1 der Hauptvereinbarung Vorrang. Bei Widersprüchen zwischen der englischen Version dieser Vereinbarung und einer übersetzten Version ist die englische Version maßgebend.