Datenschutz

Name und Kontaktdaten des Verantwortlichen

ibu – insitut für berufsbildung und umschulung gmbh

• Ludwigsluster Straße 3, 19306 Neustadt-Glewe
• Tel.: 038757 5070
• Fax: 038757 50718
• eMail: info@ibu-europe.de

Ihre Rechte als betroffene Person

1. das Recht auf Auskunft nach Art. 15 DSGVO
2. das Recht auf Berichtigung nach Art. 16 DSGVO
3. das Recht auf Löschung nach Art. 17 DSGVO
4. das Recht auf Einschränkung der Verarbeitung von Personendaten nach Art. 18 DSGVO
5. das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO und
6. das Recht auf Widerspruch gegen die Verarbeitung personenbezogener Daten gem. Art. 21 DSGVO.

Gesonderte Information über das Widerspruchsrecht nach Artikel 21 DSGVO

Nach Art. 21 Abs. 1 DSGVO haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Abs. 1 Buchstabe f der DSGVO (Verarbeitung zur Wahrung der berechtigten Interessen der verantwortlichen Stelle oder eines Dritten) erfolgt, Widerspruch einzulegen.

Legen Sie Widerspruch ein, werden wir Ihre personenbezogenen Daten nicht mehr verarbeiten, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Erfolgt die Verarbeitung, um Direktwerbung zu betreiben, so haben Sie nach Art. 21 Abs. 2 DSGVO das Recht, jederzeit Widerspruch gegen die Verarbeitung sie betreffender personenbezogener Daten zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht. Darüber hinaus besteht nach Art. 77 DSGVO ein Beschwerderecht bei einer Datenschutzbehörde.

Die für uns zuständige Aufsichtsbehörde ist:

Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern

• Schloss Schwerin, Lennéstraße 1
• 19053 Schwerin
• Tel.: 0385 59494 0
• Telefax: +49 385 59494 58
• eMail: info@datenschutz-mv.de
• Web: www.datenschutz-mv.de; www.informationsfreiheit-mv.de
• https://www.datenschutz-mv.de/kontakt/kontaktformular/

Sie können sich zudem vertrauensvoll an den Datenschutzbeauftragten wenden:
Kontaktdaten des Datenschutzbeauftragten

Externer Datenschutzbeauftragter:

ECOVIS Keller Rechtsanwälte PartG mbB

Rechtsanwalt Axel Keller / Senior Associate Karsten Neumann

• August-Bebel-Straße 10-12
• 18055 Rostock
• Tel.: 0381 1288490
• eMail: dsb-nord@ecovis.com
• web: www.ecovis.com/datenschutzberater

1. Datenschutzhinweise für unsere Webseite

Wir freuen uns über Ihren Besuch auf unserer Webseite und möchten Sie so umfassend wie möglich über die damit verbundene Verarbeitung Ihrer Daten informieren.

Beim Besuch unserer Internetseiten fallen personenbezogene Daten von Ihnen an. Dabei handelt es sich um Daten, die erforderlich sind, damit Sie unsere Internetseiten nutzen können oder die uns ermöglichen, Ihre Einstellungen zu berücksichtigen. Zudem handelt es sich womöglich um Informationen, die Sie uns über die auf diesen Seiten angebotenen Kontaktmöglichkeiten selbst zur Verfügung stellen.

Wir verwenden diese Daten, um den ordnungsgemäßen Betrieb und alle Funktionalitäten unserer Internetseite sicherzustellen und Ihre Anfragen zu beantworten.

Nachfolgend informieren wir Sie darüber, welche Daten auf unserer Internetseite erhoben werden und zu welchen Zwecken die Verarbeitung erfolgt. Darüber hinaus erhalten Sie Informationen zu Ihren Rechten und Kontaktdaten von uns und unserem Datenschutzbeauftragten.

2. Zwecke und Rechtsgrundlagen der Datenverarbeitung, Auftragsverarbeiter, Weitergabe an Dritte in Drittstaaten

Ihre uns überlassenen persönlichen Daten verwenden wir nur zu den Zwecken, zu denen sie bestimmt sind.

Rechtsgrundlage für die Verarbeitung Ihrer Daten kann insbesondere

• Ihre Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO sein, beispielsweise indem Sie der Cookienutzung oder der Webanalyse zustimmen,
• die Vertragsanbahnung und -abwicklung gem. Art. 6 Abs. 1 lit. b DSGVO sein, beispielsweise wenn Sie mit uns über das Formular in Kontakt treten,
• unser berechtigtes Interesse gem. Art. 6 Abs. 1 lit. f DSGVO sein, beispielsweise im Rahmen der Öffentlichkeitsarbeit, Sicherung der notwendigen Funktionalitäten der Website, IT- und Internet-Sicherheit, Qualitätssicherung, Betrugsprävention und Verfolgung von Straftaten.

Sofern Sie uns zweckgebunden eine Einwilligung erteilt haben, können Sie diese jederzeit formlos widerrufen.

Eine Übermittlung der personenbezogenen Daten an staatliche Einrichtungen und Behörden erfolgt ausschließlich aufgrund zwingender nationaler Rechtsvorschriften.

Die von uns mit der Verarbeitung der Daten beauftragten Personen sind zur Verschwiegenheit und rechtmäßigen Verarbeitung der Daten verpflichtet. Im Falle einer Weiterverarbeitung Ihrer personenbezogenen Daten zu einem anderen als dem ursprünglichen Zweck erfolgt durch uns eine entsprechende Mitteilung.

Wir nutzen für bestimmte technische Prozesse bezüglich der Datenanalyse, -verarbeitung und / oder -speicherung die Unterstützung externer Dienstleister (Auftragsverarbeiter). Sowohl wir als auch der Auftragsverarbeiter sind der Einhaltung der technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO und der externe Dienstleister darüber hinaus auch zur Verschwiegenheit verpflichtet. Eine Verarbeitung erfolgt ausschließlich in unserem Auftrag und auf unsere Weisung hin. Eine über diese Auftragsdatenverarbeitung hinausgehende Verarbeitung Ihrer personenbezogenen Daten erfolgt nur durch Ihre explizite Einwilligung oder in den durch Gesetz und behördlich oder gerichtlich angeordneten Fällen.

Eine Datenübermittlung in Drittstaaten (Staaten außerhalb des Europäischen Wirtschaftsraums – EWR) findet nur statt, soweit dies zur Vertragserfüllung erforderlich ist, gesetzlich vorgeschrieben ist, Sie Ihre Einwilligung in die Datenverarbeitung erteilt haben oder für die Sicherstellung verschiedener Funktionalitäten auf der Website erforderlich ist. Über Einzelheiten werden wir Sie, sofern gesetzlich vorgegeben, gesondert informieren.

3. Dauer der Datenspeicherung

Im Zusammenhang mit der rein informatorischen Nutzung unserer Homepage speichern wir die Daten, die Ihr Browser an unseren Server übermittelt, für den Zeitraum, der zur Behebung von Störungen oder Fehlermeldungen notwendig ist. Eine Löschung erfolgt in der Regel innerhalb von 7 Tagen nach dem Ende der Internetverbindung.

Weitere Löschfristen ergeben sich in Abhängigkeit Ihrer Nutzung der Website.

Sofern Sie anhand unserer Kontaktmöglichkeiten mit einem Anliegen an uns herantreten, speichern wir Ihre erhobenen personenbezogenen Daten vom Zeitpunkt der Erhebung an. Die so erhobenen Daten werden von uns für die Dauer unserer Geschäftsbeziehung, was unter anderem auch die Anbahnung und Abwicklung eines Vertrags umfasst, gespeichert. Darüber hinaus unterliegen wir verschiedenen Aufbewahrungs- und Dokumentationspflichten, die sich unter anderem aus dem Handelsgesetzbuch (HGB), der Abgabenordnung (AO) oder dem sonstigen Steuerrecht ergeben. Die dort vorgeschriebenen Fristen zur Aufbewahrung betragen bis zu zehn Jahre nach Ende des Jahres, in dem das Vertragsverhältnis beendet wurde. Schließlich beurteilt sich die Speicherdauer im Hinblick auf die Möglichkeit der Verteidigung gegen Rechtsansprüche sowie Nachweis der Erfüllung datenschutzrechtlicher Verpflichtungen auch nach den gesetzlichen Verjährungsfristen, die nach den §§ 195 ff. des Bürgerlichen Gesetzbuches (BGB) in der Regel 3 Jahre ab Ende des Entstehungsjahres betragen.

Im Falle weiterer Löschfristen werden Sie im weiteren Verlauf der Datenschutzerklärung informiert.

4. Funktionalität und Darstellung der Webseite

• • Cookies

Wir verwenden Cookies. Cookies sind Textdateien, welche über einen Internetbrowser auf einem Computersystem abgelegt und gespeichert werden.

Cookies enthalten eine sogenannte Cookie-ID. Eine Cookie-ID ist eine eindeutige Kennung des Cookies. Sie besteht aus einer Zeichenfolge, durch welche Internetseiten und Server dem konkreten Internetbrowser zugeordnet werden können, in dem das Cookie gespeichert wurde. Dies ermöglicht es den besuchten Internetseiten und Servern, Ihren individuellen Browser von anderen Internetbrowsern, die andere Cookies enthalten, zu unterscheiden. Ein bestimmter Internetbrowser kann über die eindeutige Cookie-ID wiedererkannt und identifiziert werden.

Durch den Einsatz von Cookies können wir den Nutzern dieser Internetseite nutzerfreundlichere Services bereitstellen. Es können Informationen und Angebote auf unserer Internetseite im Sinne des Benutzers optimiert werden, indem beispielsweise der Benutzer der Internetseite wiedererkannt wird. So müssen nicht bei jedem Besuch der Internetseite erneut Zugangsdaten eingeben werden, da dies von der Internetseite und dem auf dem Computersystem des Benutzers abgelegten Cookie übernommen wird.

Es muss jedoch beim Einsatz von Cookies im Hinblick auf verschiedene Zweckbindungen unterschieden werden. Soweit diese kleinen Dateien zwingend erforderlich sind, um die Website ordnungsgemäß darzustellen, liegt keine Freiwilligkeit bei Nutzung vor. Die Rechtsgrundlage für die Einbindung der Cookies ist in diesem Fall Art. 6 (1) lit.f DSGVO.

Darüber hinaus werden auf der Website jedoch auch Cookies zum Zweck der Analyse des Nutzerverhaltens oder Marketingzwecken eingesetzt. Dieser Einsatz erfolgt jedoch nur, wenn Sie uns beim ersten Aufruf der Website Ihre Einwilligung nach Art. 6 (1) lit. a DSGVO erteilt haben. Sie können jedoch jederzeit die Setzung von Cookies durch unsere Internetseite mittels einer entsprechenden Einstellung des genutzten Internetbrowsers unterbinden und damit der Setzung von Cookies dauerhaft widersprechen. Ferner können bereits gesetzte Cookies jederzeit über einen Internetbrowser oder andere Softwareprogramme gelöscht werden. Dies ist in allen gängigen Internetbrowsern möglich. Wird das Setzen von Cookies in dem genutzten Internetbrowser deaktiviert, sind unter Umständen nicht alle Funktionen unserer Internetseite vollumfänglich nutzbar.

Im Folgenden haben wir Links zusammengestellt, unter denen Sie detaillierte Informationen zur Deaktivierung von Cookies in gängigen Browsern finden:

• Mozilla Firefox
• Internet Explorer
• Google Chrome
• Safari
• Microsoft Edge
  • Server-Log-Files

Der Provider unserer Website erhebt und speichert automatisch Informationen in so genannten Server-Log Files, die von Ihrem Browser automatisch an uns übermittelt werden. Erfasst werden können die

• verwendeten Browsertypen und Versionen,
• das vom zugreifenden System verwendete Betriebssystem,
• die Internetseite, von welcher ein zugreifendes System auf unsere Internetseite gelangt (sogenannte Referrer),
• Unterwebseiten, welche über ein zugreifendes System auf unserer Internetseite angesteuert werden,
• das Datum und die Uhrzeit eines Zugriffs auf die Internetseite,
• eine Internet-Protokoll-Adresse (IP-Adresse),
• der Internet-Service-Provider des zugreifenden Systems und
• sonstige Daten und Informationen, die der Gefahrenabwehr im Falle von Angriffen auf unsere informationstechnologischen Systeme dienen.

Bei der Nutzung dieser allgemeinen Daten und Informationen ziehen wir keine Rückschlüsse über Sie. Diese Informationen werden vielmehr benötigt, um

• die Inhalte unserer Internetseite korrekt auszuliefern,
• die Inhalte unserer Internetseite sowie die Werbung für diese zu optimieren,
• die dauerhafte Funktionsfähigkeit unserer informationstechnologischen Systeme und der Technik unserer Internetseite zu gewährleisten sowie
• um Strafverfolgungsbehörden im Falle eines Cyberangriffes die zur Strafverfolgung notwendigen Informationen bereitzustellen.

Diese Daten und Informationen werden durch uns daher einerseits statistisch und ferner mit dem Ziel ausgewertet, den Datenschutz und die Datensicherheit in unserem Unternehmen zu erhöhen, um letztlich ein optimales Schutzniveau für die von uns verarbeiteten personenbezogenen Daten sicherzustellen. Die Verarbeitungen erfolgen im Rahmen unseres berechtigten Interesses gemäß Art. 6 (1) f DSGVO. Die anonymen Daten der Server-Logfiles werden getrennt von allen Ihren angegebenen personenbezogenen Daten gespeichert. Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Bei Anhaltspunkten für eine rechtswidrige Nutzung unseres Internetangebots ist es uns allerdings möglich, diese Daten nachträglich einer Überprüfung zu unterziehen.

5. Kommunikation

• • Kontaktaufnahme und Kontaktformular​

Unsere Internetseite enthält Angaben, die eine schnelle elektronische Kontaktaufnahme zu unserem Unternehmen sowie eine unmittelbare Kommunikation mit uns ermöglichen, was ebenfalls eine allgemeine Adresse der sogenannten elektronischen Post (eMail-Adresse) umfasst.

Zudem haben wir ein Kontaktformular integriert, mithilfe dessen Sie Kontakt zu uns aufnehmen können. Sie haben die Möglichkeit auf freiwilliger Basis Anrede, Vorname, Nachname und die Telefonnummer anzugeben. Für eine Kommunikation mit uns über das Formular ist es jedoch zwingend erforderlich, dass Sie Ihre eMail-Adresse und Ihr konkretes Anliegen in der Nachricht mitteilen.

Sofern Sie per eMail oder über das Kontaktformular den Kontakt mit uns aufnehmen, werden die von Ihnen übermittelten personenbezogenen Daten automatisch gespeichert. Solche auf freiwilliger Basis übermittelten personenbezogenen Daten werden für Zwecke der Bearbeitung oder der Kontaktaufnahme mit Ihnen gespeichert. Es erfolgt keine Weitergabe dieser personenbezogenen Daten an Dritte.

Die Datenübermittlung über das Kontaktformular ist freiwillig und erfolgt gem. Art. 6 Abs. 1 lit. a) DSGVO. Sofern die Verarbeitung für die Erfüllung eines Vertrages erforderlich ist oder im Rahmen der Durchführung einer vorvertraglichen Maßnahme erfolgt die Datenverarbeitung gem. Art. 6 Abs. 1 lit. b) DSGVO.

Wir nutzen für diesen technischen Prozess einen externen Dienstleister (Auftragsverarbeiter). Sowohl wir als auch der Auftragsverarbeiter sind der Einhaltung der technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO und der externe Dienstleister darüber hinaus auch zur Verschwiegenheit verpflichtet. Eine Verarbeitung erfolgt ausschließlich in unserem Auftrag und auf unsere Weisung

6. Analyse Tools

Google Analytics (mit Anonymisierungsfunktion)

Wir haben auf unserer Internetseite die Komponente Google Analytics (mit Anonymisierungsfunktion) integriert. Die Datenverarbeitung erfolgt mit Ihrer vorherigen Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO. Ihre Einwilligung können Sie jederzeit widerrufen.

Betreibergesellschaft ist die Google LLC; 1600 Amphitheatre Parkway; Mountain View, CA 94043; USA, vertreten in der EU durch Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Ireland.

Google Analytics ist ein Web-Analyse-Dienst. Web-Analyse ist die Erhebung, Sammlung und Auswertung von Daten über das Verhalten von Besuchern von Internetseiten. Ein Web-Analyse-Dienst erfasst unter anderem Daten darüber, von welcher Internetseite eine betroffene Person auf eine Internetseite gekommen ist (sogenannte Referrer), auf welche Unterseiten der Internetseite zugegriffen oder wie oft und für welche Verweildauer eine Unterseite betrachtet wurde.

Zweck der Google-Analytics-Komponente ist die Analyse der Besucherströme auf unserer Internetseite. Google nutzt die gewonnenen Daten und Informationen unter anderem dazu, die Nutzung unserer Internetseite auszuwerten, um für uns Online-Reports, welche die Aktivitäten auf unseren Internetseiten aufzeigen, zusammenzustellen, und um weitere mit der Nutzung unserer Internetseite in Verbindung stehende Dienstleistungen zu erbringen.

Google Analytics setzt in Ihrem System ein Cookie. Durch jeden Aufruf einer der Einzelseiten dieser Internetseite, auf welcher eine Google-Analytics-Komponente integriert wurde, wird Ihr Internetbrowser automatisch durch die jeweilige Google-Analytics-Komponente veranlasst, Daten zum Zwecke der Online-Analyse an Google zu übermitteln. Mittels des Cookies werden personenbezogene Informationen, beispielsweise die Zugriffszeit, der Ort, von welchem ein Zugriff ausging und die Häufigkeit der Besuche unserer Internetseite durch Sie, bevorzugte Sprache und Browser gespeichert. Bei jedem Besuch unserer Internetseiten werden diese personenbezogenen Daten, einschließlich der von Ihnen genutzten IP-Adresse, an Google übertragen. Diese personenbezogenen Daten werden durch Google gespeichert.

Bei der IP-Anonymisierung wird Ihre IP-Adresse von Google gekürzt. Die im Rahmen von Google Analytics von Ihrem Browser übermittelte IP-Adresse wird nicht mit anderen Daten von Google zusammengeführt.

Laut DURCHFÜHRUNGSBESCHLUSS (EU) 2021/914 DER KOMMISSION vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates wird die Datenübertragung in die USA auf Standardvertragsklauseln gestützt, siehe hier business.safety.google/gdprcontrollerterms/ und hier business.safety.google/gdprcontrollerterms/sccs/.

Sie können die Setzung von Cookies jederzeit mittels einer entsprechenden Einstellung des genutzten Internetbrowsers verhindern und damit der Setzung von Cookies dauerhaft widersprechen.

Ferner besteht für Sie die Möglichkeit, einer Erfassung der durch Google Analytics erzeugten, auf eine Nutzung dieser Internetseite bezogenen Daten sowie der Verarbeitung dieser Daten durch Google zu widersprechen und eine solche zu verhindern. Hierzu müssen Sie ein Browser-Add-On unter dem Link tools.google.com/dlpage/gaoptout herunterladen und installieren.

Weitere Informationen und die geltenden Datenschutzbestimmungen von Google können unter policies.google.com/privacy und policies.google.com/terms abgerufen werden. Google Analytics wird unter dem Link www.google.com/intl/de_de/analytics/ genauer erläutert.

Die EU-Datenschutz-Grundverordnung verpflichtet uns, Ihnen umfassende Informationen zur Verarbeitung Ihrer personenbezogenen Daten zur Verfügung zu stellen. Dieser Verpflichtung entsprechend teilen wir Ihnen Folgendes mit:

Verarbeitungsrahmen

Wir verarbeiten Ihre personenbezogenen Daten zum Zweck der Abwicklung einer Geschäftsbeziehung zwischen uns, einschließlich der Kommunikation zwischen uns, insbesondere zur Abwicklung des Zahlungsverkehrs, des Rechnungswesens und der Erfüllung der zwischen uns vertraglich bestehenden Pflichten.

Wir erheben Ihre Daten grundsätzlich im direkten Kontakt mit Ihnen. Im Rahmen unserer Geschäftstätigkeit werden uns daneben aber auch Daten von Dritten übermittelt. Dies ist insbesondere dann der Fall, wenn wir Daten von (Rechts-)Vertretern, Rentenversicherungen, Behörden, öffentlichen Stellen, wie der Bundesagentur für Arbeit oder Jobcentern einholen. Aus öffentlichen Quellen erheben wir grundsätzlich keine personenbezogenen Daten.

Wir verarbeiten Ihre Daten, wenn dies für die Erfüllung eines Vertrages den Sie mit uns abgeschlossen haben gem. Art. 6 (1) b 1. Alt. DSGVO erforderlich oder wenn die Datenverarbeitung für die Durchführung einer vorvertraglichen Maßnahme gem. Art. 6 (1) b 2. Alt. DSGVO erforderlich ist.

Dies betrifft folgende Zwecke:

• Durchführung und Abwicklung von Schulungen und Weiterbildungen
• Erfassung und Nachweis über absolvierte Schulungen und Weiterbildungen
• die Abwicklung einer Geschäftsbeziehung zwischen uns, einschließlich der Kommunikation zwischen uns, insbesondere zur Abwicklung des Zahlungsverkehrs, des Rechnungswesens und der Erfüllung der zwischen uns vertraglich bestehenden Pflichten
• Erfüllung der uns treffenden gesetzlichen Verpflichtungen

Verarbeitet werden in diesen Zusammenhängen ggf. folgende Datenkategorien: Anrede, Name, Geschlecht, Kontaktdaten, Adresse, Geburtsdatum, Geburtsort, Kundennummer, Berufliche Tätigkeiten Name und Kontaktdaten Arbeitgeber, Anwesenheitsdaten, Qualifikation, Berufsqualifikation, Beginn u. Ende der Maßnahme, Vertragsdaten, Unterschrift, ggf. Personalausweis, ggf. Zahlungsinformationen, Vereinbarungen / Abkommen.

Die von uns erhobenen Daten sind für die Begründung und Abwicklung einer Geschäftsbeziehung einschließlich der Erfüllung der sich daraus ergebenden Pflichten in der Regel zwingend erforderlich. Eine sonstige Verpflichtung zur Bereitstellung der Daten besteht regelmäßig nicht.

Im Einzelfall sind wir gesetzlich verpflichtet, eine Datenverarbeitung vorzunehmen. In diesem Fall verarbeiten wir Ihre Daten gem. Art. 6 (1) c DSGVO.

Eine gesetzliche Verpflichtung kann sich:

• aus einem Vertrag ergeben, den Sie mit uns geschlossen haben und zu dessen Erfüllung die Datenerhebung dient
• aus den uns treffenden gesetzlichen Regelungen, oder – gemäß Art. 6 Abs. 2 und 3 DSGVO – dem Recht der Europäischen Union oder dem Recht der Mitgliedsstaaten der Europäischen Union ergeben
• aus allgemeinen Hilfeleistungs- oder vertraglichen Nebenpflichten ergeben, die nicht spezifisch auf Datenerhebungen zugeschnitten sind, etwa den Regelungen zur Unterlassenen Hilfeleistung in § 323c StGB

Sollte ein lebensbedrohlicher Notfall eintreten und Sie ärztliche Hilfe benötigen, stützen wir die Verarbeitung Ihrer Daten sodann auf Art. 6 (1) lit. d DSGVO um Ihre lebenswichtigen Interessen zu schützen.

Gegebenenfalls erfolgt die Datenverarbeitung in unserem berechtigten Interesse gem. Art. 6 Abs. 1 lit. f DSGVO.

Soweit gesetzlich zulässig, werden Ihre personenbezogenen Daten gespeichert, wenn dies zur Geltendmachung von oder Verteidigung gegen Rechtsansprüche erforderlich ist.

1. Unser berechtigtes Interesse zur Datenverarbeitung ist:

• das Bestehen eines Rechtsverhältnisses zwischen uns;
• die Betrugsprävention;
• Maßnahmen zur Gewährleistung und Verbesserung der Sicherheit von IT-Systemen;
• Maßnahmen zum Schutz unseres Unternehmens vor rechtswidrigen Handlungen und
• Geltendmachung von Schadenersatzansprüchen

Bei der Datenverarbeitung in unserem Unternehmen werden keine automatischen Überwachungs- oder Bewertungssysteme eingesetzt.

2. Die von uns erhobenen personenbezogenen Daten werden nach Maßgabe unseres Löschkonzepts bis zum Ablauf der gesetzlichen Aufbewahrungspflicht gespeichert und danach gelöscht, es sei denn, dass nach Artikel 6 Abs. 1 S. 1 lit. c DSGVO aufgrund von steuer- und handelsrechtlichen Aufbewahrungs- und Dokumentationspflichten (aus HGB, StGB oder AO) die Verpflichtung zur längerfristigen Speicherung der Daten besteht oder Sie in eine darüber hinausgehende Speicherung nach Art. 6 Abs. 1 S. 1 lit. a DSGVO eingewilligt haben.

3. Vorbehaltlich solcher Aufbewahrungspflichten werden Daten gelöscht, wenn der Zweck, zu dem sie erhoben wurden, weggefallen ist.

4. Soweit gesetzlich zulässig, werden Daten auch gespeichert, wenn dies zur Geltendmachung von oder Verteidigung gegen Rechtsansprüche erforderlich ist.

5. Weitergabe und Auslandsbezug

Empfänger oder Kategorien von Empfängern der personenbezogenen Daten

Die von uns erhobenen Daten werden unter Beachtung der gesetzlichen Vorschriften ggf. an Empfänger oder Dritte weitergeleitet. Diese Empfänger können sein:

Intern:

• Geschäftsführung
• Sekretariat
• Qualitätssicherung (intern)

Extern:

1. Steuerberater
2. Wirtschaftsprüfer
3. Finanzverwaltung
4. Agentur für Arbeit
5. Eigene Rechtsvertreter
6. Qualitätssicherung (extern)
7. Versicherungsunternehmen Rechnungswesen / Buchhaltung
8. Externe Datenverarbeiter (so genannte Auftragsverarbeiter) gem. Art. 4 Nr. 8 DSGVO
1. Rechnungswesen / Buchhaltung R&R Immobilienverwaltung
2. IT-Dienstleister
3. Aktenvernichtungsunternehmen Reisswolf
4. Pflege Website mv-soft

Eine Übermittlung Ihrer personenbezogenen Daten in ein Drittland erfolgt nicht und ist nicht beabsichtigt.

Sehr geehrte Bewerberinnen, sehr geehrte Bewerber,

im Zuge des Bewerbungsprozesses teilen Sie uns möglicherweise sehr persönliche Informationen über sich mit. Wir möchten Sie mit diesem Schreiben darüber informieren, wie wir Ihre Daten handhaben und welche Rechte Sie im Zusammenhang mit der Datenverarbeitung in unserem Unternehmen haben.

I. Verarbeitungsrahmen

Wir erheben Ihre personenbezogenen Daten wie nachfolgend aufgeführt grundsätzlich im direkten Kontakt mit Ihnen. Darüber hinaus und soweit es für die Beurteilung Ihrer Bewerbung erforderlich ist, verarbeiten wir ggf. von anderen Stellen oder von sonstigen Dritten oder öffentlich zugänglichen Quellen zulässigerweise erhaltene Daten zu folgenden Zwecken:

Wir verarbeiten Ihre Daten, wenn dies für die Durchführung einer vorvertraglichen Maßnahme gem. Art. 6 (1) b DSGVO i.V.m. § 26 BDSG erforderlich ist

Dies betrifft folgende vorvertraglichen Zwecke:

• Prüfung und Beurteilung Ihrer Geeignetheit für die zu besetzende Stelle,
• Leistungs- und Verhaltensbewertung im gesetzlich zulässigen Umfang,
• ggfls. Registrierung und Authentifizierung für die Bewerbung über unsere Website,
• ggfls. Erstellung des Arbeitsvertrages,
• Nachweisbarkeit von Transaktionen,
• Reise- und Veranstaltungsmanagement, Reisebuchung und Reisekostenabrechnung, Berechtigungs- und Ausweisverwaltung,
• Kostenerfassung und Controlling,
• vertragsbezogene Kommunikation (einschließlich Terminvereinbarungen) mit Ihnen

Verarbeitet werden in diesem Zusammenhang die Daten, die Sie uns im Bewerbungsschreiben selbst mitteilen. Zur Beurteilung der Geeignetheit für die zu besetzende Stelle verarbeiten wir regulär: Anrede / Geschlecht, Adressdaten, Persönliche Daten, Wohnadresse, Berufliche Tätigkeiten, Gegenwärtige Arbeitsstelle, Staatsangehörigkeit, Berufsqualifikation, Berufserfahrung, Beginn / Beendigung eines Arbeitsverhältnisses, Berufliche Entwicklung, Elterneigenschaft, Geburtsdatum.

Die Daten sind für die ordnungsgemäße Durchführung des Auswahlverfahrens erforderlich. Wenn Sie uns die Angaben nicht mitteilen, können wir Ihre Bewerbung möglicherweise nicht berücksichtigen. Eine gesetzliche Pflicht zur Bereitstellung der Daten besteht nicht.

Wir verarbeiten Ihre Daten, wenn Sie uns eine Einwilligung gem. Art. 6 (1) a DSGVO oder gem. Art. 9 (2) a DSGVO erteilt haben.

Eine Einwilligung können Sie erteilen für:

• Einholung von Referenzen bei früheren Arbeitgebern
• Einwilligung zur längeren Speicherung Ihrer Bewerbung in einem Bewerberpool für spätere Vakanze

Eine Einwilligung zur Datenverarbeitung holen wir uns ggf. gesondert bei Ihnen ein. Ihre erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt.

Sollte ein lebensbedrohlicher Notfall eintreten und Sie ärztliche Hilfe benötigen, stützen wir die Verarbeitung Ihrer Daten auf Art. 6 (1) lit. d DSGVO um Ihre lebenswichtigen Interessen zu schützen.

Dies umfasst insbesondere die Weitergabe von relevanten Daten an Rettungssanitäter, Ärzte oder andere Rettungskräfte.

Gegebenenfalls erfolgt die Datenverarbeitung in unserem berechtigten Interesse gem. Art. 6 Abs. 1 lit. f DSGVO

Unser berechtigtes Interesse zur Datenverarbeitung ist:

• Betrugsprävention;
• Maßnahmen zur Gewährleistung und Verbesserung der Sicherheit von IT-Systemen;
• Maßnahmen zum Schutz unseres Unternehmens vor rechtswidrigen Handlungen;
• Geltendmachung von Schadenersatzansprüchen;
• interne Verwaltungszwecke, insbesondere der Austausch innerhalb unseres Unternehmens;
• Geltendmachung rechtlicher Ansprüche und Verteidigung bei rechtlichen Streitigkeiten- ggf. Weitergabe an für uns tätige Rechtsvertreter;
• Sicherung eines einheitlichen Bewerbermanagements und einheitlicher Qualitätsstandards innerhalb unseres Unternehmens

Bei der Datenverarbeitung in unserem Unternehmen werden keine automatischen Bewertungssysteme eingesetzt.

II. Dauer der Datenspeicherung

Wir speichern die für die Bewerbung erhobenen Daten bis zum Ablauf der Frist von 6 Monaten nach Abschluss des Bewerbungsverfahrens. Nach Ablauf dieser Frist werden die für die Bewerbung erhobenen Daten gelöscht bzw. wenn ein Löschen nicht möglich ist, werden sie gesperrt. Für den Fall, dass Sie einer weiteren Speicherung personenbezogenen Daten zugestimmt haben, werden wir Ihre Daten in unseren Bewerber-Pool übernehmen. Dort werden die Daten nach Ablauf von zwei Jahren gelöscht. Sollte der Kontakt zu uns über eine Agentur oder Berater erfolgt sein, speichern wir Ihre Stammdaten bis zum Vertragsablauf mit dem Vermittler zur Prüfung von Provisionsansprüchen.. Sollten Sie im Rahmen des Bewerbungsverfahrens den Zuschlag für eine Stelle erhalten haben, werden die Daten aus dem Bewerberdatensystem in unser Personalinformationssystem überführt und zur Erstellung des Arbeitsvertrages genutzt.

III. Weitergabe und Auslandsbezug

Die von uns erhobenen Daten werden unter Beachtung der gesetzlichen Vorschriften ggf. zweckbezogen auch an Dritte weitergeleitet. Mögliche Empfänger sind:

Intern:

1. Geschäftsführung
2. Sekretariat

Extern:

1. Agentur für Arbeit
2. ggf. eigene Rechtsvertreter
3. ggf. Externe Datenverarbeiter (so genannte Auftragsverarbeiter) gem. Art. 4 Nr. 8 DSGVO
1. Rechnungswesen / Buchhaltung R&R Immobilienverwaltung
2. IT-Dienstleister
3. Aktenvernichtungsunternehmen Reisswolf
4. Pflege Website mv-soft

Eine Übermittlung Ihrer personenbezogenen Daten in ein Drittland erfolgt nicht und ist nicht beabsichtigt

IV. Information zur Verarbeitung personenbezogener Daten nach der DSGVO für Geschäftspartner / Lieferanten

Die EU-Datenschutz-Grundverordnung verpflichtet uns, Ihnen umfassende Informationen zur Verarbeitung Ihrer personenbezogenen Daten zur Verfügung zu stellen. Dieser Verpflichtung entsprechend teilen wir Ihnen Folgendes mit:

6.

1. Verarbeitungsrahmen

Im Rahmen unserer Geschäftsbeziehung und in Abhängigkeit des konkreten Zwecks, zu dem wir Ihre Daten erheben, verarbeiten wir regelmäßig auch dann personenbezogene Daten, wenn es sich bei Ihnen um eine juristische Person handelt. Dies ist beispielsweise dann der Fall, wenn wir Daten von Personen aus der Geschäftsführung oder persönlichen Ansprechpartnern Ihres Unternehmens erheben.

Wir erheben Ihre Daten grundsätzlich im direkten Kontakt mit der betroffenen Person. Allerdings ist auch denkbar, dass Sie uns Daten von Personen übermitteln, die in Ihrem Unternehmen für uns zuständig sind.

Wir verarbeiten Ihre Daten, wenn dies für die Erfüllung eines Vertrages den Sie mit uns abgeschlossen haben gem. Art. 6 (1) b 1. Alt. DSGVO erforderlich oder wenn die Datenverarbeitung für die Durchführung einer vorvertraglichen Maßnahme gem. Art. 6 (1) b 2. Alt. DSGVO erforderlich ist.

Dies betrifft folgende Zwecke:

• Abwicklung unserer Geschäftsbeziehung (Zahlungsverkehr, Rechnungswesen, Erfüllung der zwischen uns bestehenden vertraglichen Pflichten)
• Kommunikation
• Terminverwaltung

Verarbeitet werden in diesen Zusammenhängen ggf. folgende Datenkategorien: Firma, Name, Geschäftsadressdaten, geschäftliche Kontaktdaten, Funktion im Unternehmen, Unterschrift, Berufliche Tätigkeit, Beschwerden/Vorkommnisse

Die von uns erhobenen Daten sind für die Begründung und Abwicklung einer Geschäftsbeziehung einschließlich der Erfüllung der sich daraus ergebenden Pflichten in der Regel zwingend erforderlich. Eine sonstige Verpflichtung zur Bereitstellung der Daten besteht regelmäßig nicht.

Im Einzelfall sind wir gesetzlich verpflichtet, eine Datenverarbeitung vorzunehmen. In diesem Fall verarbeiten wir Ihre Daten gem. Art. 6 (1) c DSGVO.

Eine gesetzliche Verpflichtung kann sich:

• aus einem Vertrag ergeben, den Sie mit uns geschlossen haben und zu dessen Erfüllung die Datenerhebung dient
• aus den uns treffenden gesetzlichen Regelungen, oder – gemäß Art. 6 Abs. 2 und 3 DSGVO – dem Recht der Europäischen Union oder dem Recht der Mitgliedsstaaten der Europäischen Union ergeben
• aus allgemeinen Hilfeleistungs- oder vertraglichen Nebenpflichten ergeben, die nicht spezifisch auf Datenerhebungen zugeschnitten sind, etwa den Regelungen zur Unterlassenen Hilfeleistung in § 323c StGB

Sollte ein lebensbedrohlicher Notfall eintreten und Sie ärztliche Hilfe benötigen, stützen wir die Verarbeitung Ihrer Daten sodann auf Art. 6 (1) lit. d DSGVO um Ihre lebenswichtigen Interessen zu schützen.

Gegebenenfalls erfolgt die Datenverarbeitung in unserem berechtigten Interesse gem. Art. 6 Abs. 1 lit. f DSGVO.

Soweit gesetzlich zulässig, werden Ihre personenbezogenen Daten gespeichert, wenn dies zur Geltendmachung von oder Verteidigung gegen Rechtsansprüche erforderlich ist.

7. Unser berechtigtes Interesse zur Datenverarbeitung ist:

• Kontaktdatenverarbeitung der Ansprechpartner
• das Bestehen eines Rechtsverhältnisses zwischen uns;
• die Betrugsprävention;
• Maßnahmen zur Gewährleistung und Verbesserung der Sicherheit von IT-Systemen;
• Maßnahmen zum Schutz unseres Unternehmens vor rechtswidrigen Handlungen und
• Geltendmachung von Schadenersatzansprüchen

Die Nichtbereitstellung personenbezogener Daten von für Ihr Unternehmen tätigen Personen hat in der Regel nur zur Folge, dass die Kommunikation zwischen uns erheblich erschwert bzw. – beispielsweise im Bereich der Kommunikation über E-Mail – unmöglich wäre.

Bei der Datenverarbeitung in unserem Unternehmen werden keine automatischen Überwachungs- oder Bewertungssysteme eingesetzt.

2. Dauer der Datenspeicherung

 

8. Die von uns erhobenen personenbezogenen Daten werden nach Maßgabe unseres Löschkonzepts bis zum Ablauf der gesetzlichen Aufbewahrungspflicht gespeichert und danach gelöscht, es sei denn, dass nach Artikel 6 Abs. 1 S. 1 lit. c DSGVO aufgrund von steuer- und handelsrechtlichen Aufbewahrungs- und Dokumentationspflichten (aus HGB, StGB oder AO) die Verpflichtung zur längerfristigen Speicherung der Daten besteht oder Sie in eine darüber hinausgehende Speicherung nach Art. 6 Abs. 1 S. 1 lit. a DSGVO eingewilligt haben.

9. Vorbehaltlich solcher Aufbewahrungspflichten werden Daten gelöscht, wenn der Zweck, zu dem sie erhoben wurden, weggefallen ist.

 

10. Soweit gesetzlich zulässig, werden Daten auch gespeichert, wenn dies zur Geltendmachung von oder Verteidigung gegen Rechtsansprüche erforderlich ist.

 

3. Weitergabe und Auslandsbezug

Empfänger oder Kategorien von Empfängern der personenbezogenen Daten

Die von uns erhobenen Daten werden unter Beachtung der gesetzlichen Vorschriften ggf. an Empfänger oder Dritte weitergeleitet. Diese Empfänger können sein:

Intern:

1. Geschäftsführung
2. Abteilungsleiter
3. Rechnungswesen/Buchhaltung

Extern:

1. Steuerberater
2. Finanzverwaltung
3. Versicherungsunternehmen
4. eigene Rechtsvertreter
5. externe Auftragsverarbeiter gem. Art. 4 Nr. 8 DSGVO
1. Rechnungswesen / Buchhaltung R&R Immobilienverwaltung
2. IT-Dienstleister
3. Aktenvernichtungsunternehmen Reisswolf
4. Pflege Website mv-soft

Eine Übermittlung Ihrer personenbezogenen Daten in ein Drittland erfolgt nicht und ist nicht beabsichtigt.

Die EU-Datenschutz-Grundverordnung verpflichtet uns, Ihnen umfassende Informationen zur Verarbeitung Ihrer personenbezogenen Daten zur Verfügung zu stellen. Dieser Verpflichtung entsprechend teilen wir Ihnen Folgendes mit:

V. Verarbeitungsrahmen

Im Rahmen unserer Geschäftsbeziehung und in Abhängigkeit des konkreten Zwecks, zu dem wir Ihre Daten erheben, verarbeiten wir regelmäßig auch dann personenbezogene Daten, wenn es sich bei Ihnen um eine juristische Person handelt. Dies ist beispielsweise dann der Fall, wenn wir Daten von Personen aus der Geschäftsführung oder persönlichen Ansprechpartnern Ihres Unternehmens erheben.

Wir erheben Ihre Daten grundsätzlich im direkten Kontakt mit der betroffenen Person. Allerdings ist auch denkbar, dass Sie uns Daten von Personen übermitteln, die in Ihrem Unternehmen für uns zuständig sind.

Wir verarbeiten Ihre Daten, wenn dies für die Erfüllung eines Vertrages den Sie mit uns abgeschlossen haben gem. Art. 6 (1) b 1. Alt. DSGVO erforderlich oder wenn die Datenverarbeitung für die Durchführung einer vorvertraglichen Maßnahme gem. Art. 6 (1) b 2. Alt. DSGVO erforderlich ist.

Dies betrifft folgende Zwecke:

• Abwicklung unserer Geschäftsbeziehung (Zahlungsverkehr, Rechnungswesen, Erfüllung der zwischen uns bestehenden vertraglichen Pflichten)
• Kommunikation
• Terminverwaltung

Verarbeitet werden in diesen Zusammenhängen ggf. folgende Datenkategorien: Firma, Name, Geschäftsadressdaten, geschäftliche Kontaktdaten, Funktion im Unternehmen, Unterschrift, Berufliche Tätigkeit, Beschwerden/Vorkommnisse

Die von uns erhobenen Daten sind für die Begründung und Abwicklung einer Geschäftsbeziehung einschließlich der Erfüllung der sich daraus ergebenden Pflichten in der Regel zwingend erforderlich. Eine sonstige Verpflichtung zur Bereitstellung der Daten besteht regelmäßig nicht.

Im Einzelfall sind wir gesetzlich verpflichtet, eine Datenverarbeitung vorzunehmen. In diesem Fall verarbeiten wir Ihre Daten gem. Art. 6 (1) c DSGVO.

Eine gesetzliche Verpflichtung kann sich:

• aus einem Vertrag ergeben, den Sie mit uns geschlossen haben und zu dessen Erfüllung die Datenerhebung dient
• aus den uns treffenden gesetzlichen Regelungen, oder – gemäß Art. 6 Abs. 2 und 3 DSGVO – dem Recht der Europäischen Union oder dem Recht der Mitgliedsstaaten der Europäischen Union ergeben
• aus allgemeinen Hilfeleistungs- oder vertraglichen Nebenpflichten ergeben, die nicht spezifisch auf Datenerhebungen zugeschnitten sind, etwa den Regelungen zur Unterlassenen Hilfeleistung in § 323c StGB

Sollte ein lebensbedrohlicher Notfall eintreten und Sie ärztliche Hilfe benötigen, stützen wir die Verarbeitung Ihrer Daten sodann auf Art. 6 (1) lit. d DSGVO um Ihre lebenswichtigen Interessen zu schützen.

Gegebenenfalls erfolgt die Datenverarbeitung in unserem berechtigten Interesse gem. Art. 6 Abs. 1 lit. f DSGVO.

Soweit gesetzlich zulässig, werden Ihre personenbezogenen Daten gespeichert, wenn dies zur Geltendmachung von oder Verteidigung gegen Rechtsansprüche erforderlich ist.

Unser berechtigtes Interesse zur Datenverarbeitung ist:

• Kontaktdatenverarbeitung der Ansprechpartner
• das Bestehen eines Rechtsverhältnisses zwischen uns;
• die Betrugsprävention;
• Maßnahmen zur Gewährleistung und Verbesserung der Sicherheit von IT-Systemen;
• Maßnahmen zum Schutz unseres Unternehmens vor rechtswidrigen Handlungen und
• Geltendmachung von Schadenersatzansprüchen

Die Nichtbereitstellung personenbezogener Daten von für Ihr Unternehmen tätigen Personen hat in der Regel nur zur Folge, dass die Kommunikation zwischen uns erheblich erschwert bzw. – beispielsweise im Bereich der Kommunikation über eMail – unmöglich wäre.

Bei der Datenverarbeitung in unserem Unternehmen werden keine automatischen Überwachungs- oder Bewertungssysteme eingesetzt.

V. Dauer der Datenspeicherung

Die von uns erhobenen personenbezogenen Daten werden nach Maßgabe unseres Löschkonzepts bis zum Ablauf der gesetzlichen Aufbewahrungspflicht gespeichert und danach gelöscht, es sei denn, dass nach Artikel 6 Abs. 1 S. 1 lit. c DSGVO aufgrund von steuer- und handelsrechtlichen Aufbewahrungs- und Dokumentationspflichten (aus HGB, StGB oder AO) die Verpflichtung zur längerfristigen Speicherung der Daten besteht oder Sie in eine darüber hinausgehende Speicherung nach Art. 6 Abs. 1 S. 1 lit. a DSGVO eingewilligt haben.

Vorbehaltlich solcher Aufbewahrungspflichten werden Daten gelöscht, wenn der Zweck, zu dem sie erhoben wurden, weggefallen ist.

Soweit gesetzlich zulässig, werden Daten auch gespeichert, wenn dies zur Geltendmachung von oder Verteidigung gegen Rechtsansprüche erforderlich ist.

1. Weitergabe und Auslandsbezug

Empfänger oder Kategorien von Empfängern der personenbezogenen Daten

Die von uns erhobenen Daten werden unter Beachtung der gesetzlichen Vorschriften ggf. an Empfänger oder Dritte weitergeleitet. Diese Empfänger können sein:

Intern:

1. Geschäftsführung
2. Abteilungsleiter
3. Rechnungswesen/Buchhaltung

Extern:

1. Steuerberater
2. Finanzverwaltung
3. Versicherungsunternehmen
4. eigene Rechtsvertreter
5. externe Auftragsverarbeiter gem. Art. 4 Nr. 8 DSGVO
1. Rechnungswesen / Buchhaltung R&R Immobilienverwaltung
2. Aktenvernichtungsunternehmen Reisswolf
3. IT-Dienstleister
1. Pflege Website mv-soft

Eine Übermittlung Ihrer personenbezogenen Daten in ein Drittland erfolgt nicht und ist nicht beabsichtigt.

Inhalt

Datenverarbeitungsvereinbarung (DPA) von LinkedIn

Anlage A: Beschreibung der Übermittlung

Anlage B: Nachtrag zum CCPA

Anlage C: Spezielle Bedingungen und Ergänzungen für Glint

Anlage D: Technische und organisatorische Maßnahmen einschließlich technischer und organisatorischer Maßnahmen zur Gewährleistung der Datensicherheit

Diese zwischen dem auf dem zugehörigen Bestelldokument für LinkedIn Dienste angegebenen LinkedIn Kunden („Kunde“) und dem auf dem Bestelldokument angegebenen LinkedIn Unternehmen (zusammen mit den verbundenen Unternehmen, „LinkedIn“) geschlossene Datenverarbeitungsvereinbarung („Datenverarbeitungsvereinbarung“) regelt die Verarbeitung personenbezogener Daten, die der Kunde im Rahmen der Dienste für LinkedIn hochlädt oder LinkedIn in anderer Weise zur Verfügung stellt, die Verarbeitung personenbezogener Datendurch LinkedIn im Namen des Kunden in Verbindung mit den Diensten sowie die Verarbeitung jeglicher personenbezogener Daten, die LinkedIn im Zusammenhang mit den Diensten für den Kunden hochlädt oder diesem in anderer Weise zur Verfügung stellt. Bedingungen, die speziell für die Glint-Serviceleistungen von LinkedIn gelten, werden als Anlage C zu dieser Datenverarbeitungsvereinbarung zur Verfügung gestellt.

Diese Datenverarbeitungsvereinbarung ist in den entsprechenden LinkedIn Dienstleistungsvertrag eingebunden, der dem zuvor vom Kunden ausgefertigten Bestelldokument beigefügt oder durch Verweis in dieses Dokument aufgenommen wurde, und der in dieser Datenverarbeitungsvereinbarung generisch als „LinkedIn Vertrag“ bezeichnet wird. Die Datenverarbeitungsvereinbarung (samt den in diesem Dokument definierten Standardvertragsklauseln), der LinkedIn Vertrag und die dazugehörigen Bestelldokumente werden in dieser Datenverarbeitungsvereinbarung als die „Vereinbarung“ bezeichnet. Im Falle eines Konflikts oder einer Widersprüchlichkeit zwischen Bedingungen dieser Vereinbarung, haben die Bestimmungen der folgenden Dokumente (in der Reihenfolge ihrer Priorität) Vorrang:(a) die Standardvertragsklauseln, (b) das zum LinkedIn Vertrag zugehörige Bestelldokument, (c)diese Datenverarbeitungsvereinbarung, (d) der LinkedIn Vertrag. Vorbehaltlich einer ausdrücklichen Änderung in dieser Datenverarbeitungsvereinbarung bleiben der LinkedIn Vertrag und das anwendbare Bestellformular unverändert und in vollem Umfang in Kraft und wirksam.

1. BEGRIFFSBESTIMMUNGEN

„CCPA“ bezeichnet das kalifornische Datenschutzgesetz (California Consumer Privacy Act) von2018 zusammen mit allen untergeordneten Rechtsvorschriften oder Verordnungen.

„Personenbezogene Kundendaten“ bezeichnet personenbezogene Daten, die der Kunde im Zusammenhang mit der Nutzung der LinkedIn Serviceleistungen für LinkedIn hochlädt oder LinkedIn anderweitig zur Verfügung stellt.

„Datenschutzanforderungen“ bezeichnet die Datenschutz-Grundverordnung sowie alle geltenden Gesetze, Regelungen und sonstigen Rechtsvorschriften in Bezug auf (a) Privatsphäre, Datensicherheit und Schutz personenbezogener Daten; und (b) die Verarbeitung personenbezogener Daten. Datenschutzanforderungen umfassen unter anderem die britische Datenschutz-Grundverordnung (GDPR), das Schweizer Bundesgesetz über den Datenschutz2020, das brasilianische Allgemeine Datenschutzgesetz (Lei Geral de Proteção de Dados) und das CCPA.

„Personenbezogene EU-Daten“ bezeichnet personenbezogene Daten, deren Weitergabe gemäß dieser Vereinbarung durch die Datenschutz-Grundverordnung geregelt ist.

„Datenschutz-Grundverordnung“ bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zusammen mit allen untergeordneten Rechtsvorschriften oder Verordnungen zur Umsetzung der Datenschutz-Grundverordnung (DSGVO).

„Personenbezogene Daten“ sind Daten und Angaben zu einer Person, die (a) verwendet werden können, um eine bestimmte Person zu identifizieren, zu kontaktieren oder zu finden; (b) mitanderen Daten kombiniert werden können, die zur Identifizierung, zur Kontaktaufnahme mit oder zum Auffinden einer bestimmten Person verwendet werden können; oder (c) durchgeltende Gesetze oder Rechtsvorschriften für die Erhebung, Verwendung, Speicherung oder Offenlegung von Informationen über eine identifizierbare Person als „personenbezogene Daten „oder „personenbezogene Informationen“ definiert sind.

„Verletzung des Schutzes personenbezogener Daten“ bezeichnet jede(n) versehentliche(n) oderrechtswidrige(n) Vernichtung, Verlust, Änderung, unbefugte Offenlegung oder Zugriff auf personenbezogene Kundendaten.

„Verarbeitung“ und verwandte Begriffe bezeichnen jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mitpersonenbezogenen Daten wie die Erhebung, die Speicherung, die Organisation, die Gliederung, die Aufbewahrung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Benutzung, die Weitergabe durch Übermittlung, die Verbreitung oder jede andere Form der Bereitstellung, die Kombination oder die Verknüpfung sowie das Sperren, Löschen oder Vernichten.

„Standardvertragsklauseln“ bezeichnet die im Rahmen der Vereinbarung von den Vertragsparteien geschlossenen Standardvertragsklauseln der Europäischen Kommission.

„Unterauftragsverarbeiter“ bezeichnet jede Rechtseinheit, die für LinkedIn Verarbeitungsdienstleistungen zur Förderung der Verarbeitung von personenbezogenen Kundendaten durch LinkedIn erbringt.

„Aufsichtsbehörde“ bezeichnet eine unabhängige Behörde, die (i) von einem Mitgliedsstaat der Europäischen Union gemäß Artikel 51 der Datenschutz-Grundverordnung eingerichtet wird; oder(ii) für den Datenschutz zuständige öffentliche Behörde, die über die Aufsichtsbefugnis und Zuständigkeit für den Kunden verfügt.

„UK GDPR“ bezeichnet die britische Datenschutz-Grundverordnung, ergänzt durch das Datenschutzgesetz (Data Protection Act) 2018.

„Personenbezogene UK-Daten“ bezeichnet personenbezogene Daten, deren Weitergabe gemäß dieser Vereinbarung durch die britische Datenschutz-Grundverordnung geregelt ist.

2. ART DER DATENVERARBEITUNG

Jede Partei verpflichtet sich, die im Rahmen der Vereinbarung erhaltenen personenbezogenen Daten nur für die in der Vereinbarung festgelegten Zwecke zu verarbeiten. Um Zweifelauszuschließen, sind die Kategorien der verarbeiteten personenbezogenen Daten und die Kategorien der betroffenen Personen, die dieser Datenverarbeitungsvereinbarung unterliegen, in Anlage A zu dieser Datenverarbeitungsvereinbarung beschrieben.

3. EINHALTUNG VON GESETZEN

Jede der Parteien wird ihre jeweiligen Verpflichtungen aus allen geltenden Datenschutzanforderungen erfüllen.

4. PFLICHTEN DES KUNDEN

4.1 Der Kunde stimmt zu: (i) die Zwecke und allgemeinen Mittel der Verarbeitung personenbezogener Kundendaten durch LinkedIn in Übereinstimmung mit der Vereinbarung festzulegen; und (ii) seine Schutz-, Sicherheits- und sonstigen Verpflichtungen in Bezug auf personenbezogene Kundendaten einzuhalten, die in den Datenschutzbestimmungen für Datenverantwortliche vorgeschrieben sind.

4.2 Der Kunde verpflichtet sich, LinkedIn auf Verlangen eine zentrale Kontaktperson (den „Master-Administrator”) zu benennen, die (i) für den Empfang und die Beantwortung von Anfragen betroffener Personen verantwortlich ist, die LinkedIn von betroffenen Kunden in Bezug auf personenbezogene Kundendaten erhält; und (ii) LinkedIn über die beabsichtigte Antworteines Kunden auf eine Anfrage einer betroffenen Person in Bezug auf den Zugriff auf personenbezogene Kundendaten, die LinkedIn für den Kunden verarbeitet, oder deren Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Sperrung oder Streichung, informiert und LinkedIn ermächtigt, solche Antworten im Namen des Kunden vorzunehmen.

5. PFLICHTEN VON LINKEDIN

5.1 Verarbeitungsanforderungen. LinkedIn wird:

1. personenbezogene Kundendaten (i) nur zum Zwecke der Bereitstellung, Unterstützung und Verbesserung der Dienste von LinkedIn (einschließlich der Bereitstellung von Einblicken und anderen Berichten) unter Verwendung geeigneter technischer und organisatorischer Sicherheitsmaßnahmen sowie (ii) gemäß den vom Kunden erhaltenen Anweisungen verarbeiten. LinkedIn wird die personenbezogenen Kundendaten nicht für andere Zwecke verwenden oderverarbeiten. LinkedIn wird den Kunden unverzüglich schriftlich informieren, wenn LinkedIn die Anforderungen der Absätze 5 bis 8 dieser Datenverarbeitungsvereinbarung nicht erfüllen kann; in diesem Fall steht es dem Kunden frei, die Vereinbarung zu kündigen oder andere angemessene Maßnahmen einschließlich der Aussetzung der Datenverarbeitung zu ergreifen,
2. den Kunden unverzüglich informieren, wenn eine Anweisung des Kunden nach Ansicht von LinkedIn gegen geltende Datenschutzanforderungen verstößt;
3. die Anweisungen des Kunden bezüglich der Erhebung personenbezogener Kundendaten(einschließlich der Informationspflicht und Wahlmöglichkeit) befolgen, wenn LinkedIn personenbezogene Kundendaten von Einzelpersonen im Namen des Kunden erfasst;
4. wirtschaftlich vertretbare Maßnahmen ergreifen, um sicherzustellen, dass (i) die von LinkedIn beschäftigten Personen und (ii) andere Personen, die im Namen von LinkedIn tätig sind, die Bestimmungen der Vereinbarung einhalten;
5. sicherstellen, dass die Beschäftigten, bevollmächtigten Vertreter und Unterauftragsverarbeiter von LinkedIn verpflichtet sind, auch nach Beendigung ihres jeweiligen Arbeitsverhältnisses, Vertrags oder Einsatzes die Vertraulichkeit der personenbezogenen Kundendaten zu beachten, zur Kenntnis zu nehmen und zu respektieren;
6. wenn Unterauftragsverarbeiter beauftragt werden sollen, um LinkedIn bei der Erfüllung seiner Verpflichtungen gemäß dieser Datenverarbeitungsvereinbarung zu unterstützen oder die Verarbeitung vollständig oder teilweise an diese Unterauftragsverarbeiter delegiert werden soll,(i) mit Ausnahme der von LinkedIn und seinen verbundenen Unternehmen online geführten Liste von Unterauftragsverarbeitern (derzeit unter https://legal.linkedin.com/customer-subprocessors verfügbar), deren Nutzung der Kunde zustimmt, die vorherige schriftliche Zustimmung des Kunden zu einer solchen Unterverarbeitung einholen, wobei diese Zustimmung ohne angemessene Begründung nicht verweigert werden darf; (ii) gegenüber dem Kunden für die Handlungen und Unterlassungen der Unterauftragsverarbeiter in Bezug auf den Datenschutzhaften, soweit solche Unterauftragsverarbeiter auf Weisung von LinkedIn handeln; und (iii)vertragliche Vereinbarungen mit solchen Unterauftragsverarbeitern treffen, die diese dazu verpflichten, das gleiche Maß an Datenschutz und Informationssicherheit, wie in dieser Vereinbarung vorgesehen, zu gewährleisten; und
7. dem Kunden auf Verlangen eine Zuordnung der LinkedIn Sicherheitsrichtlinien zu den in der ISO/IEC 27001 der International Organization for Standardization und der International Electrotechnical Commission festgelegten Regelungen zur Verfügung stellen.

5.2 Mitteilung an den Kunden.

LinkedIn wird den Kunden informieren, wenn LinkedIn von Folgendem Kenntnis erhält:

1. einer Nichteinhaltung der Absätze 5 bis 8 dieser Datenverarbeitungsvereinbarung oder der Datenschutzanforderungen in Bezug auf den Schutz personenbezogener Kundendaten gemäß dieser Datenverarbeitungsvereinbarung durch LinkedIn oder durch die Beschäftigten von LinkedIn;
2. einem rechtsverbindlichen Antrag auf Offenlegung personenbezogener Kundendaten durcheine Strafverfolgungsbehörde, es sei denn, es ist LinkedIn anderweitig gesetzlich untersagt, den Kunden zu informieren, z. B. um die Vertraulichkeit einer Untersuchung durch die Strafverfolgungsbehörden zu wahren.

STANDARD CONTRACTUAL CLAUSES

SECTION I

1) Purpose and scope

1. a) The purpose of these standard contractual clauses is to ensure compliance with the

requirements of Regulation (EU) 2016/679 of the European Parliament and of the Council

of 27 April 2016 on the protection of natural persons with regard to the processing of

personal data and on the free movement of such data (General Data Protection

Regulation) for the transfer of personal data to a third country.

1. a) The Parties
2. i) the natural or legal person(s), public authority/ies, agency/ies or other body/ies

(hereinafter “entity/ies”) transferring the personal data, as listed in Annex I.A.

(hereinafter each “data exporter”), and

1. ii) the entity/ies in a third country receiving the personal data from the data

exporter, directly or indirectly via another entity also Party to these Clauses, as

listed in Annex I.A. (hereinafter each “data importer”)

have agreed to these standard contractual clauses (hereinafter: “Clauses”).

1. b) These Clauses apply with respect to the transfer of personal data as specified in Annex

I.B.

1. c) The Appendix to these Clauses containing the Annexes referred to therein forms an

integral part of these Clauses.

 

2) Effect and invariability of the Clauses

1. a) These Clauses set out appropriate safeguards, including enforceable data subject rights

and effective legal remedies, pursuant to Article 46(1) and Article 46 (2)(c) of Regulation

(EU) 2016/679 and, with respect to data transfers from controllers to processors and/or

processors to processors, standard contractual clauses pursuant to Article 28(7) of

Regulation (EU) 2016/679, provided they are not modified, except to select the

appropriate Module(s) or to add or update information in the Appendix. This does not

prevent the Parties from including the standard contractual clauses laid down in these

Clauses in a wider contract and/or to add other clauses or additional safeguards, provided

that they do not contradict, directly or indirectly, these Clauses or prejudice the

fundamental rights or freedoms of data subjects.

1. b) These Clauses are without prejudice to obligations to which the data exporter is subject

by virtue of Regulation (EU) 2016/679.

3) Third-party beneficiaries

1. a) Data subjects may invoke and enforce these Clauses, as third-party beneficiaries, against

the data exporter and/or data importer, with the following exceptions:

1. i) Clause 1, Clause 2, Clause 3, Clause 6, Clause 7;
2. ii) Clause 8 - Clause 8.1(b), 8.9(a), (c), (d) and (e);

iii) Clause 9 - Clause 9(a), (c), (d) and (e);

1. iv) Clause 12 - Clause 12(a), (d) and (f);
2. v) Clause 13;
3. vi) Clause 15.1(c), (d) and (e);

vii) Clause 16(e);

viii) Clause 18 - Clause 18(a) and (b);

1. b) Paragraph (a) is without prejudice to rights of data subjects under Regulation (EU)

2016/679.

4) Interpretation

1. a) Where these Clauses use terms that are defined in Regulation (EU) 2016/679, those terms

shall have the same meaning as in that Regulation.

1. b) These Clauses shall be read and interpreted in the light of the provisions of Regulation

(EU) 2016/679.

1. c) These Clauses shall not be interpreted in a way that conflicts with rights and obligations

provided for in Regulation (EU) 2016/679.

5) Hierarchy

In the event of a contradiction between these Clauses and the provisions of related agreements between the Parties, existing at the time these Clauses are agreed or entered into

thereafter, these Clauses shall prevail.

6) Description of the transfer(s)

The details of the transfer(s), and in particular the categories of personal data that are

transferred and the purpose(s) for which they are transferred, are specified in Annex I.B.

7) Docking clause

1. a) An entity that is not a Party to these Clauses may, with the agreement of the Parties,

accede to these Clauses at any time, either as a data exporter or as a data importer, by

completing the Appendix and signing Annex I.A.

1. b) Once it has completed the Appendix and signed Annex I.A, the acceding entity shall

become a Party to these Clauses and have the rights and obligations of a data exporter or

data importer in accordance with its designation in Annex I.A.

1. c) The acceding entity shall have no rights or obligations arising under these Clauses from

the period prior to becoming a Party.

SECTION II – OBLIGATIONS OF THE PARTIES

8) Data protection safeguards

The data exporter warrants that it has used reasonable efforts to determine that the data

importer is able, through the implementation of appropriate technical and organisational

measures, to satisfy its obligations under these Clauses.

8.1 Instructions

1. a) The data importer shall process the personal data only on documented instructions from

the data exporter. The data exporter may give such instructions throughout the duration of

the contract.

1. b) The data importer shall immediately inform the data exporter if it is unable to follow

those instructions.

8.2 Purpose limitation

The data importer shall process the personal data only for the specific purpose(s) of the

transfer, as set out in Annex I.B, unless on further instructions from the data exporter.

8.3 Transparency

On request, the data exporter shall make a copy of these Clauses, including the Appendix as

completed by the Parties, available to the data subject free of charge. To the extent necessary

to protect business secrets or other confidential information, including the measures described

in Annex II and personal data, the data exporter may redact part of the text of the Appendix

to these Clauses prior to sharing a copy, but shall provide a meaningful summary where the

data subject would otherwise not be able to understand the its content or exercise his/her

rights. On request, the Parties shall provide the data subject with the reasons for the

redactions, to the extent possible without revealing the redacted information. This Clause is

without prejudice to the obligations of the data exporter under Articles 13 and 14 of

Regulation (EU) 2016/679.

8.4 Accuracy

If the data importer becomes aware that the personal data it has received is inaccurate, or has

become outdated, it shall inform the data exporter without undue delay. In this case, the data

importer shall cooperate with the data exporter to erase or rectify the data.

8.5 Duration of processing and erasure or return of data

Processing by the data importer shall only take place for the duration specified in Annex I.B.

After the end of the provision of the processing services, the data importer shall, at the choice

of the data exporter, delete all personal data processed on behalf of the data exporter and

certify to the data exporter that it has done so, or return to the data exporter all personal data

processed on its behalf and delete existing copies. Until the data is deleted or returned, the

data importer shall continue to ensure compliance with these Clauses. In case of local laws

applicable to the data importer that prohibit return or deletion of the personal data, the data

importer warrants that it will continue to ensure compliance with these Clauses and will only

process it to the extent and for as long as required under that local law. This is without

prejudice to Clause 14, in particular the requirement for the data importer under Clause 14(e)

to notify the data exporter throughout the duration of the contract if it has reason to believe

that it is or has become subject to laws or practices not in line with the requirements under

Clause 14(a).

8.6 Security of processing

1. a) The data importer and, during transmission, also the data exporter shall implement

appropriate technical and organisational measures to ensure the security of the data,

including protection against a breach of security leading to accidental or unlawful

destruction, loss, alteration, unauthorised disclosure or access to that data (hereinafter

“personal data breach”). In assessing the appropriate level of security, the Parties shall

take due account of the state of the art, the costs of implementation, the nature, scope,

context and purpose(s) of processing and the risks involved in the processing for the data

subjects. The Parties shall in particular consider having recourse to encryption or

pseudonymisation, including during transmission, where the purpose of processing can be

fulfilled in that manner. In case of pseudonymisation, the additional information for

attributing the personal data to a specific data subject shall, where possible, remain under

the exclusive control of the data exporter. In complying with its obligations under this

paragraph, the data importer shall at least implement the technical and organisational

measures specified in Annex II. The data importer shall carry out regular checks to ensure

that these measures continue to provide an appropriate level of security.

1. b) The data importer shall grant access to the personal data to members of its personnel only

to the extent strictly necessary for the implementation, management and monitoring of the

contract. It shall ensure that persons authorised to process the personal data have

committed themselves to confidentiality or are under an appropriate statutory obligation

of confidentiality.

1. c) In the event of a personal data breach concerning personal data processed by the data

importer under these Clauses, the data importer shall take appropriate measures to address

the breach, including measures to mitigate its adverse effects. The data importer shall also

notify the data exporter without undue delay after having become aware of the breach.

Such notification shall contain the details of a contact point where more information can

be obtained, a description of the nature of the breach (including, where possible,

categories and approximate number of data subjects and personal data records

concerned), its likely consequences and the measures taken or proposed to address the

breach including, where appropriate, measures to mitigate its possible adverse effects.

Where, and in so far as, it is not possible to provide all information at the same time, the

initial notification shall contain the information then available and further information

shall, as it becomes available, subsequently be provided without undue delay.

1. d) The data importer shall cooperate with and assist the data exporter to enable the data

exporter to comply with its obligations under Regulation (EU) 2016/679, in particular to

notify the competent supervisory authority and the affected data subjects, taking into

account the nature of processing and the information available to the data importer.

8.7 Sensitive data

Where the transfer involves personal data revealing racial or ethnic origin, political opinions,

religious or philosophical beliefs, or trade union membership, genetic data, or biometric data

for the purpose of uniquely identifying a natural person, data concerning health or a person’s

sex life or sexual orientation, or data relating to criminal convictions and offences

(hereinafter “sensitive data”), the data importer shall apply the specific restrictions and/or

additional safeguards described in Annex I.B.

8.8 Onward transfers

The data importer shall only disclose the personal data to a third party on documented

instructions from the data exporter. In addition, the data may only be disclosed to a third party

located outside the European Union (in the same country as the data importer or in another

third country, hereinafter “onward transfer”) if the third party is or agrees to be bound by

these Clauses, under the appropriate Module, or if:

1. i) the onward transfer is to a country benefiting from an adequacy decision

pursuant to Article 45 of Regulation (EU) 2016/679 that covers the onward

transfer;

1. ii) the third party otherwise ensures appropriate safeguards pursuant to Articles 46

or 47 Regulation of (EU) 2016/679 with respect to the processing in question;

iii) the onward transfer is necessary for the establishment, exercise or defence of

legal claims in the context of specific administrative, regulatory or judicial

proceedings; or

1. iv) the onward transfer is necessary in order to protect the vital interests of the data

subject or of another natural person.

Any onward transfer is subject to compliance by the data importer with all the other

safeguards under these Clauses, in particular purpose limitation.

8.9 Documentation and compliance

1. a) The data importer shall promptly and adequately deal with enquiries from the data

exporter that relate to the processing under these Clauses.

1. b) The Parties shall be able to demonstrate compliance with these Clauses. In particular, the

data importer shall keep appropriate documentation on the processing activities carried

out on behalf of the data exporter.

1. c) The data importer shall make available to the data exporter all information necessary to

demonstrate compliance with the obligations set out in these Clauses and at the data

exporter’s request, allow for and contribute to audits of the processing activities covered

by these Clauses, at reasonable intervals or if there are indications of non-compliance. In

deciding on a review or audit, the data exporter may take into account relevant

certifications held by the data importer.

1. d) The data exporter may choose to conduct the audit by itself or mandate an independent

auditor. Audits may include inspections at the premises or physical facilities of the data

importer and shall, where appropriate, be carried out with reasonable notice.

1. e) The Parties shall make the information referred to in paragraphs (b) and (c), including the

results of any audits, available to the competent supervisory authority on request.

9) Use of sub-processors

1. a) The data importer has the data exporter’s general authorisation for the engagement of

sub- processor(s) from an agreed list. The data importer shall specifically inform the data

exporter in writing of any intended changes to that list through the addition or

replacement of sub-processors at least 24 hours in advance, thereby giving the data

exporter sufficient time to be able to object to

such changes prior to the engagement of the sub-processor(s). The data importer shall provide the

data exporter with the information necessary to enable the data exporter to exercise its

right to object.

1. b) Where the data importer engages a sub-processor to carry out specific processing

activities (on behalf of the data exporter), it shall do so by way of a written contract that

provides for, in substance, the same data protection obligations as those binding the data

importer under these Clauses, including in terms of third-party beneficiary rights for data

subjects. The Parties agree that, by complying with this Clause, the data importer fulfils

its obligations under Clause 8.8. The data importer shall ensure that the sub-processor

complies with the obligations to which the data importer is subject pursuant to these

Clauses.

1. c) The data importer shall provide, at the data exporter’s request, a copy of such a

sub-processor agreement and any subsequent amendments to the data exporter. To the

extent necessary to protect business secrets or other confidential information, including

personal data, the data importer may redact the text of the agreement prior to sharing a

copy.

1. d) The data importer shall remain fully responsible to the data exporter for the performance

of the sub- processor’s obligations under its contract with the data importer. The data

importer shall notify the data exporter of any failure by the sub-processor to fulfil its

obligations under that contract.

1. e) The data importer shall agree a third-party beneficiary clause with the sub-processor

whereby – in the event the data importer has factually disappeared, ceased to exist in law

or has become insolvent – the data exporter shall have the right to terminate the

sub-processor contract and to instruct the sub-processor to erase or return the personal

data.

10)Data subject rights

1. a) The data importer shall promptly notify the data exporter of any request it has received

from a data subject. It shall not respond to that request itself unless it has been authorised

to do so by the data exporter.

1. b) The data importer shall assist the data exporter in fulfilling its obligations to respond to

data subjects’ requests for the exercise of their rights under Regulation (EU) 2016/679. In

this regard, the Parties shall set out in Annex II the appropriate technical and

organisational measures, taking into account the nature of the processing, by which the

assistance shall be provided, as well as the scope and the extent of the assistance required.

1. c) In fulfilling its obligations under paragraphs (a) and (b), the data importer shall comply

with the instructions from the data exporter.

11)Redress

1. a) The data importer shall inform data subjects in a transparent and easily accessible format,

through individual notice or on its website, of a contact point authorised to handle

complaints. It shall deal promptly with any complaints it receives from a data subject.

1. b) In case of a dispute between a data subject and one of the Parties as regards compliance

with these Clauses, that Party shall use its best efforts to resolve the issue amicably in a

timely fashion. The Parties shall keep each other informed about such disputes and, where

appropriate, cooperate in resolving them.

1. d) Where the data subject invokes a third-party beneficiary right pursuant to Clause 3, the

data importer shall accept the decision of the data subject to:

(i) lodge a complaint with the supervisory authority in the Member State of his/her habitual

residence or place of work, or the competent supervisory authority pursuant to Clause 13;

(ii) refer the dispute to the competent courts within the meaning of Clause1 8.

1. e) The Parties accept that the data subject may be represented by a not-for-profit body,

organisation or association under the conditions set out in Article 80(1) of Regulation

(EU) 2016/679.

1. f) The data importer shall abide by a decision that is binding under the applicable EU or

Member State law.

1. g) The data importer agrees that the choice made by the data subject will not prejudice

his/her substantive and procedural rights to seek remedies in accordance with applicable

laws.

12)Liability

 

1. a) Each Party shall be liable to the other Party/ies for any damages it causes the other

Party/ies by any breach of these Clauses.

1. b) The data importer shall be liable to the data subject, and the data subject shall been titled

to receive compensation, for any material or non-material damages the data importer or

its sub-processor causes the data subject by breaching the third-party beneficiary rights

under these Clauses.

1. c) Notwithstanding paragraph (b), the data exporter shall be liable to the data subject, and

the data subject shall be entitled to receive compensation, for any material or non-material

damages the data exporter or the data importer (or its sub-processor) causes the data

subject by breaching the third-party beneficiary rights under these Clauses. This is

without prejudice to the liability of the data exporter and, where the data exporter is a

processor acting on behalf of a controller, to the liability of the controller under

Regulation (EU) 2016/679 or Regulation (EU) 2018/1725, as applicable.

1. d) The Parties agree that if the data exporter is held liable under paragraph (c) for damages

caused by the data importer (or its sub-processor), it shall be entitled to claim back from

the data importer that part of the compensation corresponding to the data importer’s

responsibility for the damage.

1. e) Where more than one Party is responsible for any damage caused to the data subject as a

result of a breach of these Clauses, all responsible Parties shall be jointly and severally

liable and the data subject is entitled to bring an action in court against any of these

Parties.

1. f) The Parties agree that if one Party is held liable under paragraph (e), it shall be entitled to

claim back from the other Party/ies that part of the compensation corresponding to its /

their responsibility for the damage.

1. g) The data importer may not invoke the conduct of a sub-processor to avoid its own

liability.

13)Supervision

1. a) The supervisory authority with responsibility for ensuring compliance by the data

exporter with Regulation (EU) 2016/679 as regards the data transfer, as indicated in

Annex I.C, shall act as competent supervisory authority.

1. b) The data importer agrees to submit itself to the jurisdiction of and cooperate with the

competent supervisory authority in any procedures aimed at ensuring compliance with

these Clauses. In particular, the data importer agrees to respond to enquiries, submit to

audits and comply with the measures adopted by the supervisory authority, including

remedial and compensatory measures. It shall provide the supervisory authority with

written confirmation that the necessary actions have been taken.

SECTION III – LOCAL LAWS AND OBLIGATIONS IN CASE OF ACCESS BY PUBLIC

AUTHORITIES

14)Local laws and practices affecting compliance with the Clauses

1. a) The Parties warrant that they have no reason to believe that the laws and practices in the

third country of destination applicable to the processing of the personal data by the data

importer, including any requirements to disclose personal data or measures authorising

access by public authorities, prevent the data importer from fulfilling its obligations under

these Clauses. This is based on the understanding that laws and practices that respect the

essence of the fundamental rights and freedoms and do not exceed what is necessary and

proportionate in a democratic society to safeguard one of the objectives listed in Article

23(1) of Regulation (EU) 2016/679, are not in contradiction with these Clauses.

1. b) The Parties declare that in providing the warranty in paragraph(a), they have taken due

account in particular of the following elements:

(i) the specific circumstances of the transfer, including the length of the

processing chain, the number of actors involved and the transmission channels

used; intended onward transfers; the type of recipient; the purpose of

processing; the categories and format of the transferred personal data; the

economic sector in which the transfer occurs; the storage location of the data

transferred;

(ii) the laws and practices of the third country of destination – including those

requiring the disclosure of data to public authorities or authorising access by

such authorities – relevant in light of the specific circumstances of the transfer,

and the applicable limitations and safeguards;

(iii) any relevant contractual, technical or organisational safeguards put in place to

supplement the safeguards under these Clauses, including measures applied

during transmission and to the processing of the personal data in the country

of destination.

1. c) The data importer warrants that, in carrying out the assessment under paragraph (b), it has

made its best efforts to provide the data exporter with relevant information and agrees that

it will continue to cooperate with the data exporter in ensuring compliance with these

Clauses.

1. d) The Parties agree to document the assessment under paragraph (b) and make it available

to the competent supervisory authority on request.

1. e) The data importer agrees to notify the data exporter promptly if, after having agreed to

these Clauses and for the duration of the contract, it has reason to believe that it is or has

become subject to laws or practices not in line with the requirements under paragraph (a),

including following a change in the laws of the third country or a measure (such as a

disclosure request) indicating an application of such laws in practice that is not in line

with the requirements in paragraph (a).

1. f) Following a notification pursuant to paragraph (e), or if the data exporter otherwise has

reason to believe that the data importer can no longer fulfil its obligations under these

Clauses, the data exporter shall promptly identify appropriate measures (e.g. technical or

organisational measures to ensure security and confidentiality) to be adopted by the data

exporter and/or data importer to address the situation. The data exporter shall suspend the

data transfer if it considers that no appropriate safeguards for such transfer can be

ensured, or if instructed by the competent supervisory authority to do so. In this case, the

data exporter shall be entitled to terminate the contract, in so far as it concerns the

processing of personal data under these Clauses. If the contract involves more than two

Parties, the data exporter may exercise this right to termination only with respect to the

relevant Party, unless the Parties have agreed otherwise. Where the contract is terminated

pursuant to this Clause, Clause 16(d) and (e) shall apply.

15)Obligations of the data importer in case of access by public authorities

 

15.1 Notification

1. a) The data importer agrees to notify the data exporter and, where possible, the data subject

promptly (if necessary with the help of the data exporter) if it:

(i) receives a legally binding request from a public authority, including judicial

authorities, under the laws of the country of destination for the disclosure of

personal data transferred pursuant to these Clauses; such notification shall

include information about the personal data requested, the requesting

authority, the legal basis for the request and the response provided; or

(ii) becomes aware of any direct access by public authorities to personal data

transferred pursuant to these Clauses in accordance with the laws of the

country of destination; such notification shall include all information available

to the importer.

1. b)

If the data importer is prohibited from notifying the data exporter and/or the data subject

under the laws of the country of destination, the data importer agrees to use its best efforts

to obtain a waiver of the prohibition, with a view to communicating as much information

as possible, as soon as possible. The data importer agrees to document its best efforts in

order to be able to demonstrate them on request of the data exporter.

1. c)

Where permissible under the laws of the country of destination, the data importer agrees

to provide the data exporter, at regular intervals for the duration of the contract, with as

much relevant information as possible on the requests received (in particular, number of

requests, type of data requested, requesting authority/ies, whether requests have been

challenged and the outcome of such challenges, etc.).

1. d) The data importer agrees to preserve the information pursuant to paragraphs (a) to (c) for

the duration of the contract and make it available to the competent supervisory authority

on request.

1. e) Paragraphs (a) to (c) are without prejudice to the obligation of the data importer pursuant to Clause

14(e) and Clause 16 to inform the data exporter promptly where it is unable to comply

with these Clauses.

15.2 Review of legality and data minimisation

1. a) The data importer agrees to review the legality of the request for disclosure, in particular

whether it remains within the powers granted to the requesting public authority, and to

challenge the request if, after careful assessment, it concludes that there are reasonable

grounds to consider that the request is unlawful under the laws of the country of

destination, applicable obligations under international law and principles of international

comity. The data importer shall, under the same conditions, pursue possibilities of appeal.

When challenging a request, the data importer shall seek interim measures with a view to

suspending the effects of the request until the competent judicial authority has decided on

its merits. It shall not disclose the personal data requested until required to do so under

the applicable procedural rules. These requirements are without prejudice to the

obligations of the data importer under Clause 14(e).

1. b) The data importer agrees to document its legal assessment and any challenge to the

request for disclosure and, to the extent permissible under the laws of the country of

destination, make the documentation available to the data exporter. It shall also make it

available to the competent supervisory authority on request.

1. c) The data importer agrees to provide the minimum amount of information permissible

when responding to a request for disclosure, based on a reasonable interpretation of the

request.

SECTION IV – FINAL PROVISIONS

16)Non-compliance with the Clauses and termination

1. a) (a) The data importer shall promptly inform the data exporter if it is unable to comply

with these Clauses, for whatever reason.

1. b) In the event that the data importer is in breach of these Clauses or unable to comply with

these Clauses, the data exporter shall suspend the transfer of personal data to the data

importer until compliance is again ensured or the contract is terminated. This is without

prejudice to Clause14(f).

1. c) The data exporter shall be entitled to terminate the contract, insofar as it concerns the

processing of personal data under these Clauses, where:

(i) the data exporter has suspended the transfer of personal data to the data importer pursuant

to paragraph (b) and compliance with these Clauses is not restored within a reasonable time

and in any event within one month of suspension;

(ii) the data importer is in substantial or persistent breach of these Clauses; or

(iii) the data importer fails to comply with a binding decision of a competent court or

supervisory authority regarding its obligations under these Clauses.

1. d) In these cases, it shall inform the competent supervisory authority of such

non-compliance. Where the contract involves more than two Parties, the data exporter

may exercise this right to termination only with respect to the relevant Party, unless the

Parties have agreed otherwise.

1. e) Personal data that has been transferred prior to the termination of the contract pursuant to paragraph (c) shall at the choice of the data exporter immediately be returned to the data

exporter or deleted in its entirety. The same shall apply to any copies of the data. The data

importer shall certify the deletion of the data to the data exporter. Until the data is deleted

or returned, the data importer shall continue to ensure compliance with these Clauses. In

case of local laws applicable to the data importer that prohibit the return or deletion of the

transferred personal data, the data importer warrants that it will continue to ensure

compliance with these Clauses and will only process the data to the extent and for as long

as required under that local law.

 

1. f) Either Party may revoke its agreement to be bound by these Clauses where (i) the

European Commission adopts a decision pursuant to Article 45(3) of Regulation (EU)

2016/679 that covers the transfer of personal data to which these Clauses apply; or (ii)

Regulation (EU) 2016/679 becomes part of the legal framework of the country to which

the personal data is transferred. This is without prejudice to other obligations applying to

the processing in question under Regulation (EU) 2016/679.

17)Governing law

These Clauses shall be governed by the law of one of the EU Member States, provided such

law allows for third-party beneficiary rights. The Parties agree that this shall be the law of

Ireland.

18)Choice of forum and jurisdiction

1. a) Any dispute arising from these Clauses shall be resolved by the courts of an EU Member

State.

1. b) The Parties agree that those shall be the courts of Ireland.
2. c) A data subject may also bring legal proceedings against the data exporter and/or data

importer before the courts of the Member State in which he/she has his/her habitual

residence.

1. d) The Parties agree to submit themselves to the jurisdiction of such courts.

APPENDIX

ANNEX I

1. LIST OF PARTIES

Data exporter(s):

1. Name: Facebook Ireland Limited

Address: 4 Grand Canal Square, Grand Canal Harbour, Dublin 2

Contact person’s name, position and contact details: Data Protection Officer, dpo@fb.com

Activities relevant to the data transferred under the Clauses: Provision of the Products by

Facebook Ireland Limited from time to time in the Territory.

Signature and date:

Data importer(s):

 

2. Name: Facebook, Inc.

Address: 1601 Willow Road, Menlo Park, CA 94025, California, United States of America

Contact person’s name, position and contact details: VP and Deputy General Counsel, legalnotices@

fb.com, or such other contact email as specified by the data importer from time to

time.

Activities relevant to the data transferred under the Clauses: Provision of services and other

activities related to the purposes of processing set out in Part 2 of this Annex.

Signature and date:

1. DESCRIPTION OF TRANSFER

Categories of data subjects whose personal data is transferred

Individuals who visit, access, use or otherwise interact with the Products.

Categories of personal data transferred

The personal data transferred is the personal data generated, shared and uploaded by or about

individuals who visit, access, use or otherwise interact with the Products, including:

• information related to the things users do and the information users provide when
  using the Products (such as profile information, posted photos and videos, shared
  location information, communications between users, and related information about
  use of the Products);
• information related to the data subjects that other users of the Products provide (such
  as a user’s imported contacts or photos);
• information related to users’ networks and connections (such as a user’s connections
  to groups, pages, and other users);
• information related to payments (such as information related to purchases or financial
  transactions);
• information about devices (such as information from or about the computers, phones
  or other devices where users install software provided by, or that access the Products);
• information from websites and apps that use the Products (such as information about
  visits to third- party websites or apps that use a “like” or “comment” button or other
  service integrations); and
• information from third-party partners (such as information related to jointly offered
  services or use of third party services); and
• information from affiliates of Facebook and companies in the Facebook family of
  companies.
  Sensitive data transferred (if applicable) and applied restrictions or safeguards that fully take
  into consideration the nature of the data and the risks involved, such as for instance strict
  purpose limitation, access restrictions (including access only for staff having followed
  specialised training), keeping a record of access to the data, restrictions for onward transfers
  or additional security measures.
  Such data may include:
• personal data revealing racial or ethnic origin, political opinions, religious or
  philosophical beliefs, or trade union membership, data concerning health or data
  concerning a natural person's sex life or sexual orientation; and
• genetic data and biometric data (as those terms are defined in the GDPR) for the
  purpose of uniquely identifying a natural person.
  The applied restrictions or safeguards are specified in Annex II. Additional restrictions or
  safeguards for special categories of data listed in this section may be notified by the data
  exporter to the data importer from time to time, including as set out in the data exporter’s
  relevant policies.
  The frequency of the transfer (e.g. whether the data is transferred on a one-off or continuous
  basis).
  Continuous
  Nature of the processing The nature of the processing is the performance of such operations as may be necessary in
  order to carry out the data exporter’s instructions in connection with the intra-group services
  and support provided by the data importer, to the extent relevant to the Products. Such
  processing operations will include collection, recording, organisation, structuring, storage,
  adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination
  or otherwise making available, alignment or combination, restriction, erasure and / or
  destruction.

 

Purpose(s) of the data transfer and further processing

Depending on the Products visited, accessed, or used by the data subject, and subject to any

relevant permissions, controls and other internal instructions, the purposes of processing

include:

• providing infrastructure services by providing data networking, peering, hosting,
  processing and related services, including data routing and temporary data caching
  services to deliver, facilitate, and optimise fast and reliable network connections
  between the Parties, their Affiliates, and users of the data exporter’s Products;
• providing general and administrative services generally required for the operation and
  support of the data exporter’s business including human resources, recruiting, finance,
  accounting, communications and policy, management services, and other business or
  administrative services as may be requested by the data exporter from time to time;
• providing sales and marketing services by (for example):
  
  
• carrying out external communications and conducting market growth and
  analytics assessments;
• developing and supporting relationships with external partners to help them
  leverage the Products in their businesses;
• supporting the data exporter’s advertisers, including identifying potential
  target advertisers;
• facilitating communications with users via mobile network services, including
  sending messages for registration and account security purposes, for providing
  platform updates and other engagement messages, or to respond to user
  requests;
• activities in connection with the provision of marketing and sales support,
  including generating reports about the effectiveness of such advertising,
  identifying issues arising from the delivery and implementation of such
  advertising; and
• howing and measuring ads and services (such as displaying relevant ads and
  measuring the effectiveness of ads), reviewing ad content and ensuring
  compliance with advertising policies;
• providing, testing, improving, fixing, and customising the Products to improve and
  support users’ experience, personalise content, enable communications between users,
  make suggestions, conduct surveys and research, and customise services based on
  location, and trouble-shoot issues;
• providing user and customer support services and communicating with users,
  responding to queries as well as explaining terms and policies and providing updates
  about the Products
• promoting safety and security on the Products (such as developing and operating an
  incident management process, using information to verify accounts, investigate
  suspicious activity or possible violations of terms or policies) and operating an
  integrity program for investigating and proactively responding to legal process and
  governmental requests (including from law enforcement agencies);
• developing new and existing Products by identifying and testing new features and
  providing technical engineering support, conducting trouble-shooting activities, as
  well as general information technology and communication services, help desk
  support activities and all related services;
• acting as a tax agent in respect of potential US and international tax obligations of the
  data exporter;
• performing research and development services and all activities in connection with
  conducting and supporting research and innovation and the development, testing and
  improvement of the Products; and
• assisting with user and non-user queries and complaints (for example for regulatory
  compliance purposes) by communicating with users and non-users (including
  receiving, reading, sending, sharing, responding to queries and complaints);
• providing legal advisory, legal support and other legal related services (such as
  developing and maintaining records of processing activities, and operating a process
  for reactive disclosures to law enforcement agencies); and
• providing contract administration, project management, planning and related services
  (such as developing and operating a contract management system, and developing and
  operating a third party oversight and management program).
  The period for which the personal data will be retained, or, if that is not possible, the criteria
  used to determine that period
  The data importer shall retain personal data transferred pursuant to this Agreement for the
  duration of this Agreement, unless obliged to delete, return or retain such personal data in
  accordance with this Agreement or in accordance with any applicable Facebook group
  retention policy or applicable law.
  For transfers to (sub-) processors, also specify subject matter, nature and duration of the
  processing
  Not applicable.

1. COMPETENT SUPERVISORYAUTHORITY

Identify the competent supervisory authority in accordance with Clause 13

Data Protection Commission, Ireland

ANNEX II

TECHNICALAND ORGANISATIONAL MEASURES INCLUDING TECHNICALAND

ORGANISATIONAL MEASURES TO ENSURE THE SECURITY OF THE DATA

Description of the technical and organisational measures implemented by the data importer(s)

(including any relevant certifications) to ensure an appropriate level of security, taking into

account the nature, scope, context and purpose of the processing, and the risks for the rights

and freedoms of natural persons.

The data importer shall implement the security objectives described below to protect its

systems, including the physical, technical, and administrative controls that govern access to

and use of the data importer's systems. Properly implemented, the measures below represent a

description of the technical and organisational security measures that the data exporter

considers appropriate to ensure the security of the data, taking into account the nature, scope,

context and purposes of the processing activity as well as the potential risk to the rights and

freedoms of natural persons.

To enable oversight of the data importer’s implementation of the measures, the data importer

shall have in place a dedicated security team to oversee the development, implementation,

effectiveness testing and ongoing maintenance of a security program, in order to realise these

security requirements.

The data importer shall also, at the request of the data exporter, be able to describe the means

by which it is achieving these security requirements and shall maintain appropriate records

and other evidence to enable the data exporter to perform oversight of the implemented

security measures.

 

1. Application Security

The data importer shall implement appropriate security measures to prevent, detect and

mitigate threats/flaws in its products and services throughout the development lifecycle.

These measures include:

1. Implementation and maintenance of secure application frameworks as part of the

software development lifecycle.

1. Controls to identify bugs and triage, monitor and mitigate them through the use of

static and dynamic analysis tools, a bug bounty program, and mutual code reviews.

2. Asset Management

The data importer shall actively manage (inventory, track, and correct) devices on its

network, so that only authorised devices are given access. Such measures must include

requirements for user identification and authorisation.

These measures include:

1. Asset acquisition, including intake request and purchase approval, must occur in

accordance with relevant policies (as updated from time to time) through defined processes

and approved channels.

1. Maintenance of an asset inventory, tracking all assets throughout their lifecycle.
2. End of life asset management procedures in accordance with relevant policies (as

updated from time to time) to ensure sanitization and destruction of all decommissioned

production and non-volatile memory media including certification of sanitisation/destruction

where appropriate.

1. Mobile devices come with a pre-installed mobile device management (“MDM”)

solution that allows controlled access to networks and has the ability to remotely wipe lost or

stolen mobile devices.

1. Devices are quarantined if they do not connect with the MDM solution regularly.
2. Business Continuity and Disaster Recovery

The data importer shall protect critical business processes from the effects of major failures

of information systems or disasters and ensure their timely resumption in the event of an

incident. These measures must include requirements for ensuring ongoing availability and

resilience of processing systems and services and for the ability to restore availability and

access to personal data in a timely manner in the event of an incident.

These measures include:

1. Implementation of a disaster recovery program that focuses on making information

systems resilient against failures and disasters with designated personnel with responsibility

for developing and improving disaster recovery capabilities.

1. Perform data backups to enable resumption of system operations in an event of

failure.

1. Replication of data across multiple data center regions across the globe and

automatically route and load-balance network traffic based on latency and network health

checks.

1. Regular disaster recovery tests and, based on the learning from these tests, works to

update and improve its disaster recovery processes and automated technologies.

4. Security Compliance, Policy and Risk

The data importer shall align security objectives with business goals, applicable laws and

regulations through the creation and maintenance of appropriate documentation, while

effectively managing risk and meeting compliance requirements

These measures include:

1. An established security leadership team including key stakeholders to operate,

maintain and continually develop a comprehensive information security program through an

integrated system of policies, standards, guidelines and controls.

1. Maintenance of a suite of information security policies based on a standard policy

framework.

(a)

Provide risk-based security requirements and measurable security recommendations

in policy form;

(b)

Provide guidance on the adoption of requirements and recommendations;

(c)

Procedures regarding the policy development lifecycle (development,

implementation, maintenance, and exception management).

1.  

Regular assessments of compliance with security policies, frameworks, and regulatory

requirements.

1.  

Maintenance of a risk program which includes risk assessment and risk management

procedures.

1.  

Inputs from activities such as vulnerability scanning, penetration testing, and product

security reviews are used to determine risks.

5.  

Configuration Management

The data importer shall have in place measures to configure systems and applications in a

consistent and secure manner.

These measures include:

 

1. Configuration settings, including secure baselines are maintained through a system

management tool for production servers, mobile devices and network devices:

(a) Baseline configurations are stored in a central repository and define the services

available on each system and how those services should be configured;

(b) Standard configurations are established for network devices.

1. Automated tools verify that standard device configurations are being used and detect

changes to configurations.

1. Security configurations are managed through configuration management and change

control processes.

6. Change Management

The data importer shall have in place measures to ensure changes to critical systems follow

approved procedures and are tracked through version control tools.

These measures include:

1. Formal process and internal tracking system to initiate and log changes, review, and

test code changes ensuring integrity and accountability for code changes.

1. Formal process and internal tracking system to initiate, log, review and test

configurations changes ensuring integrity and accountability for configuration changes.

1. Monitoring changes for a period of time before full deployment to all production

systems.

7. Data Security

The data importer shall have in place security measures to protect data confidentiality,

integrity and availability throughout the data lifecycle, from creation until deletion.

Such measures must ensure ongoing confidentiality and integrity of processing systems and

services and include requirements for the protection of data during transmission and storage.

These measures include:

1. Implementation of policies and standards such as data classification standards that

require that appropriate security and access controls be implemented, taking into account data

type, business need, the nature and purpose of processing, legal requirements, and roles and

responsibilities of accessing parties:

(a) Specific Facebook policies apply to access to and use of Facebook user data;

(b) Noncompliance with such policies may result in a formal disciplinary process.

1. Facebook policies define permitted and prohibited data sharing, based on data

classification.

1. Data is not shared externally without first obtaining approval from appropriate

stakeholders including Legal, and, where appropriate or required, implementation of a

non-disclosure agreement.

1. Internal sharing of confidential / private data is subject to Facebook’s principle of

least privilege requirements (which requires that personnel have only the minimum level of

access necessary to perform their roles and job responsibilities).

1. Critical data elements such as passwords, biometric templates and payment card

information are encrypted at rest;

1. Full disc or file based encryption is implemented on all managed laptops and mobile

devices.

1. Encryption of data in transit across public networks using strong industry protocols.
2. Identity and Access Management

The data importer shall implement technical and organisational measures to provide security

throughout the identity and access management lifecycle by ensuring access to data and

systems are provisioned to the authorised people through correct channels

These measures include:

 

1. User identity is tied to a unique account and access is limited based on role, elevated

access such as administrative or super-user access that allows for the full control of critical

identity and access management systems is restricted to authorized personnel.

1. Review of accounts with elevated access to ensure appropriate assignment of those

privileges.

1. Identity management systems (or directory services) are used for managing:

(a) Account access credentials providing access to information systems, e.g. the corporate

or production network; and

(b) elevated access credentials.

1. Access credentials may not be shared with unauthorized individuals, stored on

unauthorized devices, or retained in an insecure manner.

1. Changes to access levels are logged for analysis and investigative purposes.
2. Automatically disable account access credentials, providing access to information

systems, e.g. the corporate or production network, assigned to employees including

contractors and contingent workers after their termination date.

1. Passwords must meet password complexity requirements as defined in the password

and passcode complexity standard.

1. Multi-factor authentication is enabled, where possible, for all information systems.
2. Cryptographically protect or otherwise secure user passwords when stored and when

in transit over the Internet or other similar transmission channels.

9. Logging and Monitoring

 

The data importer shall ensure that security logs are effectively generated, protected and

reviewed to support the detection and investigation of suspicious events in production and

corporate systems.

These measures include:

 

1. Logging and monitoring systems are designed to generate logs of event types that

enable security related activities be detected.

1. Logs are sent to remote log aggregator systems.
2. Clocks are synchronised to a single referenced time source.
3. Logs are protected in transit where appropriate.
4. Logs are protected against unauthorized changes or access.
5. Logs are backed up according to defined schedules and retention policies.
6. Procedures are in place to ensure that alerts triggered by monitoring and detection

tools are routed to dedicated security Personnel, reviewed and triaged based on the type of

alert, and escalated where appropriate.

1. Endpoint-monitoring software is in place to log and monitor activity on managed IT

assets.

10. Network Security

The data importer shall have in place measures to securely design, protect and manage the

supporting network infrastructure (including firewalls, routers, switches, and related

infrastructure) and to protect information flowing in its networks from unauthorised access.

These measures include:

 

1. Protecting data and information systems against unauthorized access based on the

risks associated with each network, including guest networks, and the internet by using:

network segmentation, security zones, access contro lists, traffic monitoring, firewalls and

demilitarised zones (i.e. subnetworks that are physically or logically separated from each

other and internal networks).

1. Centralized authentication and authorization services used to access and manage

network assets.

1. The use of secure protocols for remote access to critical systems such as an approved

VPN client and 2-factor authentication.

1. The use of firewalls, host-based filtering, anti-spoofing technologies on perimeter and

edge information systems.

1. Regular review of firewall and router configurations including automated port scans

for service discovery to ensure that the configuration rules comply with applicable security

requirements.

1. DDoS detection and mitigation mechanisms in place to protect the network from

denial of service attacks.

11. People Security

The data importer shall have in place processes which establish security expectations and

responsibilities for its personnel before, during and after termination of employment.

These measures include:

1. Background checks are completed on employees and agency workers prior to

commencing employment.

1. Employees and agency workers must sign confidentiality agreements prior to

commencing employment.

1. Providing training to new hires on information security policies and procedures with

further training related to job roles as appropriate.

1. Continuing security awareness training is provided to personnel throughout their

employment.

1. Assets are returned upon termination of employment or contract.
2. Physical Security

The data importer shall have in place measures to prevent unauthorised physical access to

organisational assets and systems, to protect them from damage, misuse, destruction of theft.

These measures include requirements for physical security of locations at which personal data

are processed.

These measures include:

1. Visitor management processes to ensure visitors register at reception, present a valid

ID, and sign a non-disclosure agreement, or otherwise obtain an approved exception.

1. Visitors are escorted by employees while on premises at all times.
2. On-premises guard staff are responsible for monitoring facilities and responding to

physical security alerts through a Security Operations Center that is continually operational

(24x7).

1. Access is controlled through access badges issued to personnel (including employees,

interns, contingent workers, and vendors).

1. Access to higher risk areas is monitored through enhanced physical and electronic

means with badge access privileges limited to personnel on a need to access basis. Data

centres may use additional security measures including biometric devices.

1. Pre-approval is required to access data centres and access to data centres is reviewed

regularly.

1. Protect data centre equipment from damage, destruction and/or interruption due to

environmental factors, these measures include:

1. Temperature and humidity level controls to monitor and maintain appropriate

environmental conditions;

(a) Fire detection and suppression equipment is in place at all data centres;

(b) Redundant secondary power (UPS/CPS), backup generator units, and backup

telecommunications to support critical systems in the event of a utility outage.

13. Security Incident Response

The data importer shall have in place measures to prepare for, respond to and learn from

security incidents in an effective manner.

These measures include:

1. A security incident response policy which provides instruction on which security

teams should be included in assisting in incident response efforts.

1. Dedicated teams for handling a variety of security incidents including, but not limited

to, incidents involving external threat actors, internal threat actors, lost or stolen devices,

service disruptions, incidents involving regulated data, and incidents requiring coordination

with law enforcement.

14. Third Party Security

The data importer shall have in place measures to protect the security of data that is accessed,

processed, transferred to, shared with, or managed by external parties and vendors.

 

These measures include:

 

1. Processes in place for conducting due diligence on service providers who may receive

or be granted access to data in order to evaluate whether their data security standards are

appropriate in order to protect data.

1. Vendor security assessments are conducted by security personnel and are based on a

range of factors.

1. The level of assessment conducted for each vendor is determined according to the

type of data the vendor may process and the nature of anticipated connectivity.

1. Critical issues identified during the assessment process must be remediated before a

vendor is onboarded.

1. Depending on the sensitivity of data shared with the service provider and other

factors, the service provider may be required to undergo a periodic or random security

assessment.

15. Vulnerability Management

The data importer shall have in place measures to prevent, detect, and remediate software

vulnerabilities in its corporate and production infrastructure. The measures include processes

for regularly testing, assessing and evaluating vulnerabilities to ensure security of processing.

These measures include:

 

1. Maintenance of an inventory of infrastructure assets in order to provide the basis for

review and analysis for vulnerabilities.

1. Performing regular vulnerability scans/detection on both internal and external systems

to identify and evaluate the risks posed by vulnerabilities.

1. Testing the codebase for vulnerabilities (and incorporating new threat information into

the testing).

1. Coordinate with owners of affected products or systems to resolve the vulnerabilities

according to severity level and defined service levels.

1. Conduct annual penetration tests to evaluate critical systems and processes for

vulnerabilities.

16. Data Protection Principles and Data Subject Rights

In accordance with the data exporter’s instructions, the data importer shall have in place

measures to ensure that personal data is:

 

1. adequate, relevant and limited to what is necessary in relation to the purposes for

which it was processed; and

1. accurate and, where necessary, kept up to date (every reasonable step must be taken to

ensure that personal data which is inaccurate, having regard to the purposes for which it is

processed, is erased or rectified without delay).

The data importer shall be responsible for its own compliance with obligations under the

Clauses and this Annex II, and shall be able to demonstrate such compliance upon request.

The data importer shall have appropriate measures in place to retain and delete personal data

in accordance with the relevant retention policies (as updated from time to time), and subject

to requirements under applicable law.

The data importer shall have appropriate measures in place to assist the data exporter in

complying with its obligations in respect of data subject rights, including rights of access,

rights to rectification, right to restriction of processing, right to data portability (including by

utilising commonly-used file formats), and at the direction of the data exporter shall utilise

automated tools to enable users to exercise their rights of access and portability directly. The

data importer shall have appropriate measures in place to comply with the data exporter’s

relevant data subject rights policies.

 

 

1. einer Mitteilung, Anfrage oder Untersuchung durch eine Aufsichtsbehörde in Bezug aufpersonenbezogene Kundendaten; oder
2. Beschwerden oder Anfragen (insbesondere Anfragen in Bezug auf den Zugriff auf oder inBezug auf die Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Sperrung oder Streichungvon personenbezogenen Kundendaten), die direkt von betroffenen Personen des Kundeneingehen. LinkedIn wird auf eine solche Anfrage ohne vorherige schriftliche Zustimmung desKunden nicht substanziell reagieren.

5.3 Unterstützung des Kunden. LinkedIn wird dem Kunden unter folgenden Umständenangemessene Unterstützung leisten:

1. bei Anfragen betroffener Personen von Kunden in Bezug auf den Zugriff aufpersonenbezogene Kundendaten oder in Bezug auf die Berichtigung, Löschung, Beschränkung,Übertragbarkeit, Sperrung oder Streichung personenbezogener Kundendaten, die LinkedIn fürden Kunden verarbeitet. Für den Fall, dass eine betroffene Person eine solche Anfrage direkt anLinkedIn sendet, wird LinkedIn diese Anfrage unverzüglich an den Kunden senden;
2. bei der Untersuchung von Verletzungen des Schutzes personenbezogener Daten und derMitteilung an die Aufsichtsbehörde und an die betroffenen Personen des Kunden über solcheVerletzungen des Schutzes personenbezogener Daten; und
3. gegebenenfalls bei der Vorbereitung von Datenschutz-Folgenabschätzungen und bei Bedarfbei der Durchführung von Konsultationen mit einer Aufsichtsbehörde.

5.4 Erforderliche Verarbeitung. Wenn LinkedIn gemäß den Datenschutzanforderungenverpflichtet ist, personenbezogene Kundendaten aus einem anderen Grund als der Erbringungder in der Vereinbarung beschriebenen Dienste zu verarbeiten, wird LinkedIn den Kunden vorjeder Verarbeitung über diese Verpflichtung informieren, es sei denn, es ist LinkedIn gesetzlichuntersagt, den Kunden über diese Verarbeitung zu informieren (z. B. aufgrund vonGeheimhaltungsvorschriften, die nach geltenden Gesetzen der EU-Mitgliedstaaten bestehenkönnen).

5.5 Sicherheit. LinkedIn wird:

1. angemessene organisatorische und technische Sicherheitsmaßnahmen (darunter – in Bezugauf Personal, Einrichtungen, Hardware und Software, Speicher und Netzwerke – Maßnahmen wieZugriffskontrollen, Überwachung und Protokollierung, Erkennung von Schwachstellen undSicherheitsverstößen, Vorfallreaktionen, Verschlüsselung personenbezogener Kundendatenwährend der Übermittlung und Speicherung) zum Schutz vor Zugriff, Verlust, Veränderung,Offenlegung oder Vernichtung personenbezogener Kundendaten, ob unbefugt oderversehentlich, einschließlich der in Anlage D zu dieser Datenverarbeitungsvereinbarung beschriebenen Sicherheitsmaßnahmen, die als Anhang II der Standardvertragsklauseln anwendbar ist, aufrechterhalten;
2. Verantwortung für die ausreichenden Sicherheits-, Datenschutz- und Vertraulichkeitsvorkehrungen aller LinkedIn Beschäftigten in Bezug auf personenbezogene Kundendaten und die Haftung für eine Nichtbeachtung der Bestimmungen dieser Datenverarbeitungsvereinbarung durch solche LinkedIn Beschäftigten übernehmen;
3. angemessene Schritte unternehmen, um sich zu vergewissern, dass alle Beschäftigten von LinkedIn die Sicherheit, den Datenschutz und die Vertraulichkeit der personenbezogenen Kundendaten im Einklang mit den Anforderungen dieser Datenverarbeitungsvereinbarung, die als Anhang II der Standardvertragsklauseln anwendbar ist, schützen; und sowie
4. den Kunden über Verletzungen des Schutzes personenbezogener Daten durch LinkedIn, seine Unterauftragsverarbeiter oder andere Dritte, die im Namen von LinkedIn handeln, unverzüglich und in jedem Fall innerhalb von 48 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten informieren.
5. falls eine Verletzung des Schutzes personenbezogener Daten entweder auf (i) fahrlässiges odervorsätzliches Fehlverhalten von LinkedIn (oder eines LinkedIn Unterauftragsverarbeiters gemäß Absatz 5.1(f)) oder (ii) eine wesentliche Nichteinhaltung der Bedingungen dieser Datenverarbeitungsvereinbarung durch LinkedIn zurückzuführen ist, alle Kosten im Zusammenhang mit der Untersuchung und Behebung der Verletzung des Schutzes personenbezogener Daten tragen. LinkedIn leistet dem Kunden eine angemessene Rückerstattung aller Kosten im Zusammenhang mit der gesetzlich vorgeschriebenen Benachrichtigung betroffener Personen oder der Bereitstellung von Kreditüberwachungs- oderanderen geeigneten Abhilfemaßnahmen, vorausgesetzt, dass LinkedIn als Auftragsverarbeiter seine Verpflichtungen gemäß Absatz 5.3(b) dieser Datenverarbeitungsvereinbarung einhält.

 

6. PRÜFUNG, ZERTIFIZIERUNG

6.1 Prüfung des Kunden durch die Aufsichtsbehörde. Wenn eine Aufsichtsbehörde eine Prüfung der Datenverarbeitungseinrichtungen verlangt, in denen LinkedIn personenbezogene Kundendaten verarbeitet, um die Einhaltung der Datenschutzanforderungen durch den Kunden zu überprüfen oder zu überwachen, wird LinkedIn bei einer solchen Prüfung kooperieren. Der Kunde trägt alle Kosten und Gebühren in Verbindung mit dieser Prüfung, einschließlich allerangemessenen Kosten und Gebühren für alle Zeiträume, die LinkedIn für eine solche Prüfung aufwendet, wie auch die Sätze für die von LinkedIn erbrachten Leistungen.

6.2 Prüfungen. Auf Anfrage stellt LinkedIn dem Kunden jedes Jahr ein Gutachten oder einen Bericht über die Kontrollsysteme des Dienstleistungsunternehmens zur Verfügung, das bzw. der von einer akkreditierten, externen Prüfungsgesellschaft gemäß den Prüfungsstandards „Statement on Standards for Attestation Engagements (SSAE) No. 18“ („SSAE 18“)(Berichterstattung über die Kontrollsysteme in einem Dienstleistungsunternehmen) oder „International Standard on Assurance Engagements (ISAE) 3402“ („ISAE 3402“)(Zuverlässigkeitsberichte über die Kontrollsysteme in einem Dienstleistungsunternehmen), die für die Dienste im Rahmen der Vereinbarung gelten, ausgestellt wird (jeder dieser Berichte ist ein „Bericht“). Wenn ein Bericht nach begründetem Ermessen des Kunden keine ausreichenden Informationen liefert, um die Einhaltung der Bestimmungen dieser Datenverarbeitungsvereinbarung durch LinkedIn zu bestätigen, kann der Kunde oder eine anerkannte externe Prüfungsgesellschaft, auf die sich sowohl der Kunde als auch LinkedIn geeinigt haben, die Einhaltung der Bestimmungen dieser Datenverarbeitungsvereinbarung durch LinkedIn während der üblichen Geschäftszeiten mit angemessener Ankündigung an LinkedIn und unter Einhaltung angemessener Vertraulichkeitsverfahren überprüfen. Der Kunde trägt alle Kosten und Gebühren in Verbindung mit dieser Prüfung, einschließlich aller angemessenen Kosten und Gebühren für alle Zeiträume, die LinkedIn für eine solche Prüfung aufwendet, wie auch die Sätze für die von LinkedIn erbrachten Leistungen. Vor Beginn einer solchen Prüfung vereinbaren der Kunde und LinkedIn gemeinsam Umfang, Zeitpunkt und Dauer der Prüfung. Der Kunde wird LinkedIn unverzüglich über alle während einer Prüfung festgestellten Verstöße informieren. Der Kunde darf LinkedIn nur einmal jährlich überprüfen.

7. DATENÜBERMITTLUNG

7.1 Für Übermittlungen von personenbezogenen EU-Daten an LinkedIn zur Verarbeitung durch LinkedIn in ein Rechtshoheitsgebiet außerhalb der EU, des EWR oder eines der von der Europäischen Kommission zugelassenen Länder, die einen „angemessenen“ Datenschutz bieten, verpflichtet sich jede Partei, das Formular 2 der Standardvertragsklauseln (SCCs) für die Übermittlung zwischen dem Datenverarbeitungsverantwortlichen und dem Auftragsverarbeiter zu verwenden, die durch Bezugnahme zum Bestandteil dieses Dokuments gemacht werden. Die Parteien vereinbaren, dass die folgenden Bestimmungen gelten: (i) die Data Protection Commission of Ireland ist die zuständige Aufsichtsbehörde gemäß Klausel 13 der Standardvertragsklauseln; (ii) betroffene Personen, für die eine LinkedIn Rechtseinheit personenbezogene EU-Daten verarbeitet, sind Drittbegünstigte im Sinne der geltenden Standardvertragsklauseln; (iii) die Standardvertragsklauseln unterliegen dem irischen Recht, welches Rechte von Drittbegünstigten gemäß Klausel 17 der Standardvertragsklauseln zulässt; und (iv) alle Streitigkeiten, die sich aus den Standardvertragsklauseln ergeben, werden gemäß Klausel 18 der Standardvertragsklauseln von den irischen Gerichten entschieden. Anlage A zu dieser Datenverarbeitungsvereinbarung gilt als Anhang I der Standardvertragsklauseln und Anlage D gilt als Anhang II der Standardvertragsklauseln.

 

 

7.2 Wenn LinkedIn zur Erfüllung dieser Anforderungen derzeit oder in Zukunft außerstande ist, werden personenbezogene EU-Daten ausschließlich im Hoheitsgebiet eines Mitgliedstaates der Europäischen Union verarbeitet und verwendet, wobei jede Übermittlung personenbezogener EU-Daten in ein Drittland der vorherigen schriftlichen Zustimmung des Kunden bedarf. LinkedIn wird den Kunden unverzüglich über jede Unfähigkeit von LinkedIn zur Einhaltung der Bestimmungen dieses Absatz 7 informieren. Ungeachtet des Vorstehenden gilt für den Fall, dass die in diesem Abschnitt 7 vorgesehenen Übermittlungen dazu führen, dass personenbezogene Daten aus dem Vereinigten Königreich an LinkedIn übermittelt werden, um von LinkedIn in eineranderen Rechtsordnung als dem Vereinigten Königreich oder einem vom britischen Information Commissioner's Office genehmigten Land, das einen "angemessenen" Datenschutz bietet, verarbeitet zu werden, dass (1) jede Partei zustimmt, die SCCs für die Verarbeitung von personenbezogenen Daten aus dem Vereinigten Königreich von 2010 zu verwenden, so lange diese SCCs für solche Übermittlungen von personenbezogenen Daten aus dem VereinigtenKönigreich rechtmäßig zulässig sind, und (2) die Anhänge A und D als Anhang I bzw. Anhang II gelten. Falls das britische Information Commissioner's Office bestätigt, dass ein "UK-Zusatz zu den EU-Standardvertragsklauseln" („UK-Zusatz“) erforderlich ist, um sich rechtmäßig auf die SCCs für die Übermittlung personenbezogener Daten aus dem Vereinigten Königreich zu stützen, dann (a) gelten die SCCs, die für personenbezogene Daten aus der EU verwendet werden, auch für die Übermittlung personenbezogener Daten aus dem Vereinigten Königreich; (b) gilt der UK-Zusatz als zwischen dem Kunden und LinkedIn ausgeführt; und (c) gelten die SCCs zwischen den Parteien als geändert, wie im UK-Zusatz in Bezug auf die Übermittlung dieser personenbezogenen Daten aus dem Vereinigten Königreich angegeben. Der britische Information Commissioner ist die einzige Aufsichtsbehörde für die Übermittlung personenbezogener Daten aus dem Vereinigten Königreich im Rahmen dieses Abkommens.

8. DATENRÜCKGABE UND -LÖSCHUNG

Die Parteien vereinbaren, dass LinkedIn nach Beendigung der Datenverarbeitungsdienste oder auf angemessenen Wunsch des Kunden alle personenbezogenen Kundendaten und Kopien dieser Daten nach Wahl des Kunden an den Kunden zurückgibt oder sicher vernichtet und zur Zufriedenheit des Kunden nachweist, dass LinkedIn diese Maßnahmen ergriffen hat, und seine Unterauftragsverarbeiter anweist, dasselbe zu tun, es sei denn, die Datenschutzanforderungen hindern LinkedIn daran, die offengelegten personenbezogenen Kundendaten ganz oder teilweisezurückzugeben oder zu vernichten. In einem solchen Fall verpflichtet sich LinkedIn, dieVertraulichkeit der von LinkedIn gespeicherten personenbezogenen Kundendaten zu wahren und diese erst nach einem solchen Datum aktiv zu verarbeiten, um die einschlägigen Gesetze einzuhalten. Der Klarheit wegen sei festgestellt, dass LinkedIn weiterhin personenbezogene Kundendaten verarbeiten darf, die in einer Art und Weise zusammengefasst wurden, die einzelne Personen oder Kunden nicht identifiziert, um die Systeme und Dienste von LinkedIn zu verbessern.

9. SZENARIEN ZWISCHEN DATENVERARBEITUNGSVERANTWORTLICHEN

Bestimmte Dienste bieten möglicherweise eine integrierte Anzeige und den Exportpersonenbezogener Daten von LinkedIn Mitgliedern an, auf die der Kunde bereits auf der Webseite von LinkedIn, LinkedIn.com, in Übereinstimmung mit den Datenschutzeinstellungen der Mitglieder zugreifen kann. Für die Zwecke der DSGVO sind sowohl der Kunde als auch LinkedIn im Falle eines vom Mitglied gesteuerten Exports personenbezogener Daten oder in Fällen, in denen der Kunde bereits auf solche personenbezogenen Daten zugreifen kann, unabhängige Datenverarbeitungsverantwortliche für die personenbezogenen Daten, die ursprünglich über die LinkedIn Dienste abgeleitet wurden. Für solche Fälle vereinbaren die Parteien, dass LinkedIn und der Kunde jeweils als die Datenverarbeitungsverantwortlichen in Bezug auf ihre jeweilige Kopie der personenbezogenen Daten fungieren. Jede Partei wird, soweit sie zusammen mit der anderen Partei als Datenverantwortlicher tätig ist, wie der Begriff in den geltenden Datenschutzanforderungen in Bezug auf personenbezogene Daten definiert ist, angemessen mit der anderen Partei zusammenarbeiten, um die Ausübung der in der Datenschutz-Grundverordnung und in anderen Datenschutzanforderungen festgelegten Datenschutzrechte zu ermöglichen. Wenn beide Parteien jeweils für die Verarbeitung personenbezogener Daten verantwortlich sind und die Übermittlung von Daten zwischen den Parteien zu einer Übermittlung personenbezogener EU-Daten in ein Rechtshoheitsgebiet außerhalb der EU, des EWR oder eines der von der Europäischen Kommission zugelassenen Länder führt, die einen „angemessenen“ Datenschutz bieten, verpflichtet sich jede Partei, das Formular 1 der Standardvertragsklauseln zu verwenden, die durch Bezugnahme zum Bestandteildieses Dokuments gemacht werden. Die Parteien vereinbaren, dass die folgenden Bestimmungengelten: (i) die Data Protection Commission of Ireland ist die zuständige Aufsichtsbehörde gemäß Klausel 13 der Standardvertragsklauseln; (ii) betroffene Personen, für die eine LinkedIn Rechtseinheit personenbezogene EU-Daten verarbeitet, sind Drittbegünstigte im Sinne der geltenden Standardvertragsklauseln; (iii) die Standardvertragsklauseln unterliegen dem irischen Recht, welches Rechte von Drittbegünstigten gemäß Klausel 17 der Standardvertragsklauseln zulässt; und (iv) alle Streitigkeiten, die sich aus den Standardvertragsklauseln ergeben, werden gemäß Klausel 18 der Standardvertragsklauseln von den irischen Gerichten entschieden. Ungeachtet des Vorstehenden gilt für den Fall, dass die in diesem Abschnitt 9 vorgesehenen Übermittlungen dazu führen, dass personenbezogene Daten aus dem Vereinigten Königreich an LinkedIn übermittelt werden, um von LinkedIn in einer anderen Rechtsordnung als dem Vereinigten Königreich oder einem vom britischen Information Commissioner's Office genehmigten Land, das einen "angemessenen" Datenschutz bietet, verarbeitet zu werden, dass(1) jede Partei zustimmt, die SCCs für die Verarbeitung von personenbezogenen Daten aus dem Vereinigten Königreich von 2004, die hier durch Verweis einbezogen sind, zu verwenden, so langediese SCCs für solche Übermittlungen von personenbezogenen Daten aus dem Vereinigten Königreich rechtmäßig zulässig sind, und (2) die Anhänge A und D als Anhang I bzw. Anhang II gelten und (3) der Datenimporteur die personenbezogenen Daten aus dem Vereinigten Königreich für die Zwecke von Abschnitt II Buchstabe h nach eigenem Ermessen gemäß den in Anhang A der SCC dargelegten Datenverarbeitungsgrundsätzen verarbeitet. Für den Fall, dass das britische Information Commissioner's Office bestätigt, dass ein UK-Zusatz erforderlich ist, um sich rechtmäßig auf die in diesem Abschnitt 9 vorgesehenen SCCs für die Übermittlung personenbezogener Daten aus dem Vereinigten Königreich zu stützen, gelten (a) die SCCs, diefür personenbezogene Daten aus der EU gemäß diesem Abschnitt 9 verwendet werden, auch für die Übermittlung personenbezogener Daten aus dem Vereinigten Königreich; (b) der UK-Zusatzgilt als zwischen dem Kunden und LinkedIn ausgeführt; und (c) die SCCs zwischen den Parteiengelten als geändert, wie im UK-Zusatz in Bezug auf die Übermittlung dieser personenbezogenen Daten aus dem Vereinigten Königreich angegeben.

Die Parteien nehmen zur Kenntnis und erklären sich damit einverstanden, dass jede Parteiunabhängig als Datenverantwortlicher für personenbezogene Daten handelt und die Parteien nicht gemeinsame Verantwortliche im Sinne der Datenschutz-Grundverordnung sind.

10. EXTERNE DATENVERARBEITER

Der Kunde nimmt zur Kenntnis, dass LinkedIn bei der Erbringung einiger Dienste (wie Applicant Tracking-Systeme, Lernmanagement-Systeme und CRM-Systeme) nach Empfang der Anweisungen des Kunden personenbezogene Kundendaten an externe Datenverarbeiter übermitteln und anderweitig mit diesen interagieren darf. Der Kunde verpflichtet sich, im Falle einer solchen Übermittlung und in dem Umfang, in dem diese stattfindet, die Verantwortung zu übernehmen, mit diesen fremden Datenverarbeitern gesonderte vertragliche Vereinbarungen zutreffen, die diese verpflichten, die den Datenschutzanforderungen entsprechenden Verpflichtungen einzuhalten. Vorsorglich wird angemerkt, dass solche externen Datenverarbeiter keine Unterauftragsverarbeiter sind.

11. LAUFZEIT

Diese Datenverarbeitungsvereinbarung bleibt in Kraft, so lange LinkedIn die Verarbeitung personenbezogener Daten im Namen des Kunden durchführt, oder bis zur Beendigung des LinkedIn Vertrags (und bis zur Rückgabe oder Löschung aller personenbezogenen Daten gemäß Absatz 8 oben).

12. ANWENDBARES RECHT, SACHLICHE UND ÖRTLICHE ZUSTÄNDIGKEIT

Ungeachtet anders lautender Bestimmungen in der Vereinbarung unterliegt diese Datenverarbeitungsvereinbarung den Gesetzen Irlands; alle Klagen oder Verfahren im Zusammenhang mit dieser Datenverarbeitungsvereinbarung (einschließlich solcher, die sich ausnicht-vertraglichen Streitigkeiten oder Ansprüchen ergeben) werden in Dublin, Irland, angestrengt. Sollte es jedoch zu einem Rechtsstreit über die Verarbeitung personenbezogener Daten im Vereinigten Königreich im Rahmen dieser DSGVO kommen, unterliegt dieser Rechtsstreit dem Recht von England und Wales.

ANLAGE ANHANG 1 – BESCHREIBUNG DER ÜBERMITTLUNG

Kategorien betroffener Personen, deren personenbezogene Daten übermittelt werden:

Modul 1 (Controller zu Controller): Registrierte Benutzer von LinkedIn.com („LinkedIn Mitglieder“)

Modul 2 (Controller zu Prozessor):

Serviceleistungen (Sofern zutreffend)	Kategorien betroffener Personen, deren personenbezogene Datenübermittelt werden:
Talent/Einstellung	- Beschäftigte, Auftragnehmer, Partner und/oder Kunden des Datenexporteurs - Potenzielle und tatsächliche Kandidaten des Datenexporteurs - Dritte im Bewerbermanagementsystem des Datenexporteurs(in der Regel handelt es sich dabei um Dritte, die eine Beziehung zum Datenexporteur haben oder haben könnten,z. B. potenzielle oder tatsächliche Kandidaten oder Beschäftigte)
Linkedin Lernen	- Beschäftigte, Auftragnehmer, Studierende, Nicht-Standard-Nutzer (nach individueller Genehmigung durch LinkedIn)und/oder Bibliotheksbenutzer des Datenexporteurs
Glint/Engage	- Beschäftigte des Datenexporteurs