Bedingungen für die Verarbeitung von personenbezogenen Daten

Definitionen:

Für die Zwecke dieser Geschäftsbedingungen:

getsix® - bezeichnet ein Unternehmen der getsix-Gruppe, mit dem der Kunde einen Vertrag über die Erbringung von Dienstleistungen abgeschlossen hat

„VERORDNUNG” bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr unter Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), auch bekannt als DSGVO

„Verletzung des Schutzes personenbezogener Daten” bezeichnet eine Verletzung der Sicherheit, die zur zufälligen oder unrechtmäßigen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Weitergabe oder zum unbefugten Zugriff auf übermittelte, gespeicherte oder anderweitig verarbeitete personenbezogene Daten führt;

Im Zusammenhang mit dem Vertrag über die von getsix® für den Mandanten erbrachten Dienstleistungen und im Zusammenhang mit der Tatsache, dass die Verarbeitung der vom Mandanten anvertrauten personenbezogenen Daten im Auftrag des Mandanten erfolgen soll:

• getsix® erklärt, dass es hinreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen bietet, um sicherzustellen, dass die Verarbeitung den Anforderungen der Verordnung entspricht, und die Rechte der betroffenen Personen schützt.
• Jede Übermittlung personenbezogener Daten vom Mandanten an getsix® (zum Zwecke der Erfüllung des Dienstleistungsvertrages) wird als Auftrag zur Verarbeitung behandelt.
• Sofern nichts anderes vereinbart ist (d.h. ein gesonderter Vertrag zur Beauftragung der Verarbeitung personenbezogener Daten geschlossen wurde), erfolgt die Verarbeitung der vom Mandanten anvertrauten personenbezogenen Daten durch getsix® auf der Grundlage dieser Allgemeinen Geschäftsbedingungen. Dies bedeutet insbesondere, dass:
• getsix® personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers verarbeitet - was auch für die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation gilt -, es sei denn, eine solche Verpflichtung ergibt sich aus dem Recht der Europäischen Union oder dem nationalen Recht, dem getsix® unterliegt; in diesem Fall wird getsix® den Auftraggeber vor der Verarbeitung über diese rechtliche Verpflichtung informieren, es sei denn, das Recht verbietet eine solche Information aufgrund eines wichtigen öffentlichen Interesses;
• getsix® stellt sicher, dass die zur Verarbeitung personenbezogener Daten befugten Personen sich zur Geheimhaltung verpflichten, oder einer entsprechenden gesetzlichen Verpflichtung zur Geheimhaltung unterliegen;
• getsix® ergreift alle nach Artikel 32 der Verordnung erforderlichen Maßnahmen;
• getsix® hält die Bedingungen für den Einsatz eines anderen Auftragsverarbeiters ein;
• getsix® unterstützt den Mandanten unter Berücksichtigung der Art der Verarbeitung so weit wie möglich durch geeignete technische und organisatorische Maßnahmen dabei, seiner Verpflichtung nachzukommen, den Anträgen der betroffenen Person auf Ausübung ihrer Rechte gemäß Kapitel III der Verordnung nachzukommen;
• getsix® unterstützt den Mandanten unter Berücksichtigung der Art der Verarbeitung, und der ihm zur Verfügung stehenden Informationen, bei der Einhaltung der in den Artikeln 32-36 der Verordnung festgelegten Verpflichtungen;
• getsix® wird nach Beendigung der Verarbeitungsdienste je nach Entscheidung des Mandanten alle personenbezogenen Daten löschen, oder an den Mandanten zurückgeben, und alle vorhandenen Kopien davon löschen, es sei denn, das Recht der Europäischen Union oder das nationale Recht schreiben die Aufbewahrung personenbezogener Daten vor;
• getsix® stellt dem Auftraggeber alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der in diesem Absatz genannten Verpflichtungen erforderlich sind, und ermöglicht und unterstützt Prüfungen, einschließlich Inspektionen, durch den Auftraggeber oder einen vom Auftraggeber beauftragten Prüfer.

Im Zusammenhang mit der in Absatz (h) genannten Verpflichtung wird getsix® den Mandanten unverzüglich informieren, wenn die ihr erteilte Weisung nach ihrer Auffassung einen Verstoß gegen die Verordnung oder andere EU- oder nationale Datenschutzvorschriften darstellt.

• Der Mandant bestätigt, dass er damit einverstanden ist, dass getsix® weitere Auftragsverarbeiter einsetzt, insbesondere, aber nicht ausschließlich, das Rechenzentrum sowie andere Unternehmen der getsix®-Gruppe, deren Liste unter https://getsix.de/impressum/abrufbar ist.

  Der Mandant hat die Möglichkeit, dem Einsatz von Weiterverarbeitern durch getsix® zu widersprechen. Ein Widerspruch gegenüber einem Unternehmen, das für die Erbringung der getsix®-Dienstleistungen von zentraler Bedeutung ist, kann zur Kündigung des Dienstleistungsvertrages führen.

• Wenn getsix® einen anderen Auftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten im Auftrag des Mandanten beauftragt, werden diesem anderen Auftragsverarbeiter im Rahmen eines Vertrags oder eines anderen Rechtsakts, der dem Recht der Europäischen Union oder dem nationalen Recht unterliegt, dieselben Datenschutzverpflichtungen wie in diesen Bedingungen auferlegt, insbesondere die Verpflichtung, hinreichende Garantien für die Durchführung geeigneter technischer und organisatorischer Maßnahmen zu bieten, damit die Verarbeitung mit den Anforderungen der Bedingungen übereinstimmt. Kommt dieser andere Auftragsverarbeiter seinen Datenschutzverpflichtungen nicht nach, so liegt die volle Verantwortung für die Erfüllung der Verpflichtungen dieses anderen Auftragsverarbeiters gegenüber dem Mandanten bei getsix®.
• Der Vertrag oder sonstige Rechtsakt nach Abschnitt 5 bedarf der Schriftform, einschließlich der elektronischen Form.
• Unbeschadet der Artikel 82, 83 und 84 der Verordnung gilt getsix®, falls es bei der Festlegung der Zwecke und Mittel der Verarbeitung gegen die Verordnung verstößt, in Bezug auf diese Verarbeitung als Verantwortlicher.
• getsix® verpflichtet sich, den Mandanten unverzüglich zu unterrichten über:
• jedes Ersuchen um Zugang zu personenbezogenen Daten an eine zuständige Behörde, es sei denn, das Verbot der Mitteilung beruht auf einem Gesetz,
• jede Entdeckung oder jeden Verdacht einer Verletzung des Schutzes personenbezogener Daten (spätestens innerhalb von 24 Stunden),
• jedes Ersuchen einer Person, deren Daten sie im Auftrag des Mandanten verarbeitet, wobei sie es unterlässt, auf das Ersuchen einzugehen.