EU-DATENVERARBEITUNGSZUSATZ FÜR MISTPLAY-DIENSTE

Version vom: 5. Dezember 2022

‍

1. Umfang des Addendums

Dieser EU-Datenverarbeitungszusatz für Mistplay Services ("EU-Zusatz") gilt nur, soweit Mistplay personenbezogene Daten erhebt oder anderweitig verarbeitet, die durch europäisches Datenschutzrecht (wie unten definiert) geschützt oder anderweitig geregelt sind. Großgeschriebene Begriffe, die in diesem Nachtrag verwendet werden, haben die Bedeutung, die ihnen im Hauptteil des Vertrages gegeben wird, sofern in diesem Nachtrag nicht anders definiert.

‍

2. Begriffsbestimmungen

2.1"für die Verarbeitung Verantwortlicher","Auftragsverarbeiter","betroffene Person","personenbezogene Daten", "Verletzung des Schutzes personenbezogener Daten" und"Verarbeitung" (und"Prozess") haben die im geltenden EU-Datenschutzrecht festgelegte Bedeutung.

2.2 "EU-Datenschutzrecht" bedeutet, soweit es auf eine Partei bei der Verarbeitung von Daten anwendbar ist: (i) die Verordnung (EU) 2016/679 (die Europäische Datenschutz-Grundverordnung ("GDPR"); (ii) die EU-Datenschutzrichtlinie für elektronische Kommunikation (Richtlinie 2002/58/EG) ("e-Privacy-Richtlinie"); (iii) alle nationalen Umsetzungen von (i) und (ii); (iv) das Schweizerische Bundesgesetz über den Datenschutz vom 19. Juni 1992 und die dazugehörigen Verordnungen ("Schweizer DSG"); und (v) in Bezug auf das Vereinigte Königreich die GDPR in der Form, wie sie gemäß Abschnitt 3 des European Union (Withdrawal) Act 2018 und des Data Protection Act 2018 (zusammen "UK Privacy Law") Teil des britischen Rechts ist; jeweils in der jeweils geänderten, ergänzten oder ersetzten Fassung.

2.3 "GDPR" bezeichnet die EU-Datenschutzgrundverordnung 2016/679 in ihrer geänderten oder aktualisierten Fassung.

2.4 "Eingeschränkte Übermittlung" bedeutet: (i) wenn die DSGVO Anwendung findet, eine Übermittlung personenbezogener Daten aus dem Europäischen Wirtschaftsraum in ein Land außerhalb des Europäischen Wirtschaftsraums, das nicht Gegenstand einer Angemessenheitsbestimmung der Europäischen Kommission ist; (ii) wenn das britische Datenschutzgesetz Anwendung findet, eine Übermittlung personenbezogener Daten aus dem Vereinigten Königreich in ein anderes Land, die nicht auf Angemessenheitsbestimmungen gemäß Abschnitt 17A des United Kingdom Data Protection Act 2018 beruht; und (iii) wenn das Schweizer Datenschutzgesetz Anwendung findet, eine Übermittlung personenbezogener Daten in ein Land außerhalb der Schweiz, das nicht auf der vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten veröffentlichten Liste der angemessenen Gerichtsbarkeiten aufgeführt ist.

2.5 "Standardvertragsklauseln" oder "SCCs" bezeichnet Modul 1 (Controller to Controller) der Vertragsklauseln im Anhang des Durchführungsbeschlusses 2021/914 der Europäischen Kommission vom 4. Juni 2021, zu finden unter https://commission.europa.eu/publications/standard-contractual-clauses-international-transfers_en.

2.6 "UK Addendum" bezeichnet das Addendum für den internationalen Datentransfer (Version B1.0) zu den Standardvertragsklauseln der EU-Kommission, das vom UK Information Commissioners Office gemäß S.119(A) des UK Data Protection Act 2018 herausgegeben wird, in der jeweils geänderten, ergänzten oder ersetzten Fassung.

‍

3. Allgemeine Bedingungen und Konditionen

‍

3.1 Kontrolle/Anwendung des EU-Zusatzes. Im Falle eines Konflikts oder einer Diskrepanz zwischen den SCC, dem Auftrag, dem Vertrag und den Bedingungen dieses EU-Addendums gilt die folgende Rangfolge: (a) die SCC (sofern zutreffend), (b) dieser EU-Zusatz (sofern zutreffend), (c) der Auftrag und (d) der Rest der Vereinbarung.

3.2 Geltendes Recht. Dieser EU-Zusatz unterliegt den Gesetzen der anwendbaren Gerichtsbarkeit. In allen anderen Fällen unterliegt dieser EU-Zusatz den Gesetzen der in der Vereinbarung festgelegten Gerichtsbarkeit.

3.3 Beziehung zwischen den Parteien. Die Parteien erkennen an und vereinbaren im Zusammenhang mit der Verarbeitung personenbezogener Daten, dass jede Partei (a) ein unabhängiger für die Verarbeitung personenbezogener Daten Verantwortlicher im Sinne des EU-Datenschutzrechts ist, (b) die Zwecke und Mittel ihrer Verarbeitung personenbezogener Daten individuell festlegt und (c) die für sie nach dem EU-Datenschutzrecht geltenden Verpflichtungen in Bezug auf die personenbezogenen Daten einhält.

3.4 Umfang der Verarbeitung. Sofern nicht anders und gesondert zwischen den Parteien vereinbart, sind sich die Parteien einig und verstehen, dass: (i) Mistplay im Zusammenhang mit den Diensten Daten (einschließlich personenbezogener Daten) über oder im Zusammenhang mit Endnutzern erheben oder anderweitig erhalten kann, wie in Anhang A dieses EU-Zusatzes näher beschrieben (zusammenfassend "Daten"); (ii) Mistplay und seine Partner Tracking-Technologien verwenden können, um bestimmte Daten zu erheben; und (iii) Mistplay und seine Partner die Daten für die in der Vereinbarung vorgesehenen Zwecke und für alle anderen in der Mistplay-Datenschutzrichtlinie beschriebenen Zwecke verarbeiten können.

3.5 Sicherheit. Jede Partei ergreift angemessene technische und organisatorische Maßnahmen, um die personenbezogenen Daten (i) vor versehentlicher oder unrechtmäßiger Zerstörung und (ii) vor Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff auf die personenbezogenen Daten zu schützen (ein "Sicherheitsvorfall"). Falls eine Partei einen bestätigten Sicherheitsvorfall erleidet, benachrichtigt sie die andere Partei unverzüglich, und beide Parteien arbeiten nach Treu und Glauben zusammen, um Maßnahmen zu vereinbaren und zu ergreifen, die erforderlich sind, um die Auswirkungen des Sicherheitsvorfalls zu mildern oder zu beheben. Nichts in dieser Vereinbarung hindert eine der Parteien daran, die gesetzlich vorgeschriebene Benachrichtigung der Aufsichtsbehörden vorzunehmen, bevor die andere Partei benachrichtigt wird, solange die benachrichtigende Partei die andere Partei ohne unangemessene Verzögerung benachrichtigt.

3.6 Verbotene Datenweitergabe. Der Kunde darf keine Anwendung auf der Mistplay Plattform oder in den Diensten einbinden oder starten, die an ein Datensubjekt gerichtet ist, das nach den geltenden Datenschutz- oder Verbraucherschutzgesetzen des Landes, in dem das Kind wohnt, als Kind gilt. Der Kunde darf Mistplay keine persönlichen Daten einer betroffenen Person, die nach diesen Gesetzen als Kind gilt, übermitteln.

3.7 Zusammenarbeit; Rechte der Betroffenen. Die Parteien gewähren einander auf Anfrage jede angemessene und rechtzeitige Unterstützung (auf eigene Kosten) und Zusammenarbeit, um die andere Partei in die Lage zu versetzen, ihren Verpflichtungen nach dem EU-Datenschutzrecht nachzukommen, einschließlich der Zusammenarbeit, um die andere Partei in die Lage zu versetzen, auf Folgendes zu reagieren (i) jede Anfrage einer betroffenen Person zur Ausübung ihrer Rechte nach dem europäischen Datenschutzrecht (einschließlich ihrer Rechte auf Auskunft, Berichtigung, Widerspruch, Löschung und Datenübertragbarkeit) in Bezug auf die Daten; und (ii) jede andere Korrespondenz, Anfrage oder Beschwerde, die von einer betroffenen Person, einer Aufsichtsbehörde oder einem anderen Dritten im Zusammenhang mit der Verarbeitung der Daten eingeht ("Korrespondenz"). Jede Partei informiert die andere unverzüglich, wenn sie Korrespondenz direkt von einer betroffenen Person in Bezug auf die Daten erhält. Vorbehaltlich der Vertraulichkeitsverpflichtungen und der Grundsätze für die Offenlegung von Informationen vereinbaren die Parteien für den Fall, dass eine Partei Bedenken hat, dass die andere Partei dieses EU-Addendum nicht eingehalten hat, einen Informationsaustausch, um die Ursache für die Nichteinhaltung zu ermitteln und angemessene Schritte zur Abhilfe zu unternehmen.

3.8 Nichteinhaltung. Wenn der Kunde nicht in der Lage ist, seine Zustimmungs- und Mitteilungspflichten aus dem Vertrag (einschließlich dieses EU-Zusatzes) in Bezug auf die Daten zu erfüllen, muss der Kunde Mistplay unverzüglich benachrichtigen.

3.9 Übermittlung von personenbezogenen Daten.

a. Allgemeine Verpflichtungen für die Übermittlung von Daten. Beide Parteien können personenbezogene Daten in Drittländer übermitteln, wenn eine solche Übermittlung mit den Bestimmungen für die Übermittlung solcher Daten im EU-Datenschutzrecht übereinstimmt.
b. Übertragungen von personenbezogenen Daten aus dem EWR an den Kunden. Soweit Mistplay personenbezogene Daten, die dem EU-Datenschutzrecht unterliegen, an den Kunden überträgt und der Kunde in einem Land außerhalb des EWR ansässig ist, das keinem Angemessenheitsbeschluss unterliegt, wird davon ausgegangen, dass der Kunde die erforderlichen SCCs als Datenimporteur mit Mistplay inc, einem Unternehmen aus Quebec, als Datenexporteur abgeschlossen hat, und solche Übertragungen unterliegen diesen SCCs.
c. Übertragungen von personenbezogenen Daten aus dem EWR an Mistplay. Soweit der Kunde personenbezogene Daten, die dem EU-Datenschutzrecht unterliegen, an Mistplay überträgt, wird davon ausgegangen, dass der Kunde die erforderlichen SCCs als Datenexporteur mit Mistplay inc, einem Unternehmen aus Quebec, als Datenimporteur abgeschlossen hat, und solche Übertragungen unterliegen diesen SCCs.
d. Standardvertragsklauseln: Die Parteien vereinbaren, dass, wenn es sich bei der Übermittlung personenbezogener Daten um eine eingeschränkte Übermittlung handelt und das EU-Datenschutzrecht Anwendung findet, die Übermittlung den Standardvertragsklauseln unterliegt, die wie folgt als Bestandteil dieses Nachtrags gelten:

(i) In Bezug auf die Übermittlung personenbezogener Daten, die durch die DSGVO geschützt sind, gelten die Standardvertragsklauseln, die wie folgt ergänzt werden: (i) in Klausel 7 gilt die fakultative Andockklausel, (ii) in Klausel 11 gilt die fakultative Formulierung nicht, (iii) in Klausel 17 gilt Option 1, und die Standardvertragsklauseln unterliegen irischem Recht, (iv) in Klausel 18(b) werden Streitigkeiten vor den Gerichten Irlands entschieden, (v) Anhang I der Standardvertragsklauseln gilt als mit den in Anhang A dieses Nachtrags aufgeführten Informationen ergänzt; (vii) Anhang II der Standardvertragsklauseln gilt als mit den in Anhang B dieses Nachtrags enthaltenen Informationen ausgefüllt;

(ii) in Bezug auf die Übermittlung personenbezogener Daten, die durch das britische Datenschutzrecht geschützt sind, gelten die Standardvertragsklauseln ebenfalls in Übereinstimmung mit Absatz (a), jedoch in der durch Teil 2 geänderten und ausgelegten Fassung: Obligatorische Klauseln des Nachtrags für das Vereinigte Königreich, der als von den Parteien ausgefertigt und in diesen Nachtrag aufgenommen gilt und einen integralen Bestandteil desselben bildet. Darüber hinaus sind die Tabellen 1 bis 3 in Teil 1 des britischen Nachtrags mit den in den Anhängen A und B dieses Nachtrags aufgeführten Informationen auszufüllen, und Tabelle 4 in Teil 1 gilt als ausgefüllt, wenn "keine der beiden Parteien" ausgewählt wird; und

(iii) in Bezug auf die Übermittlung personenbezogener Daten, die durch das Schweizer DSG geschützt sind, gelten auch die Standardvertragsklauseln, die gemäß Absatz (a) oben ausgefüllt werden, mit den folgenden Änderungen: (i) Verweise auf die "Verordnung (EU) 2016/679" sind als Verweise auf das Schweizer DSG auszulegen; (ii) Verweise auf bestimmte Artikel der "Verordnung (EU) 2016/679" werden durch den entsprechenden Artikel oder Abschnitt des Schweizer DSG ersetzt; (iii) Verweise auf "EU", "Union", "Mitgliedstaat" und "mitgliedstaatliches Recht" werden durch Verweise auf "Schweiz" oder "schweizerisches Recht" ersetzt; (iv) der Begriff "Mitgliedstaat" ist nicht so auszulegen, dass betroffene Personen in der Schweiz von der Möglichkeit ausgeschlossen werden, ihre Rechte an ihrem gewöhnlichen Aufenthaltsort (d. h.e., (v) Klausel 13(a) und Teil C von Anhang A werden nicht verwendet und die "zuständige Aufsichtsbehörde" ist der Eidgenössische Datenschutzbeauftragte; (vi) Verweise auf die "zuständige Aufsichtsbehörde" und "zuständige Gerichte" werden durch Verweise auf den "Eidgenössischen Datenschutzbeauftragten" und "zuständige Gerichte der Schweiz" ersetzt; (vii) in Klausel 17 unterliegen die Standardvertragsklauseln schweizerischem Recht; und (viii) in Klausel 18(b) wird festgelegt, dass Streitigkeiten vor den anwendbaren Gerichten der Schweiz zu entscheiden sind,

. Es ist nicht die Absicht einer der Parteien, den Bestimmungen der Standardvertragsklauseln zu widersprechen oder sie einzuschränken. Wenn und soweit die Standardvertragsklauseln mit einer Bestimmung der Vereinbarung, einschließlich dieses Nachtrags, in Konflikt stehen, haben die Standardvertragsklauseln daher im Umfang des Konflikts Vorrang.

4. Änderungen an diesem EU-Addendum

4.1 Mistplay kann die Bedingungen dieses EU-Zusatzes von Zeit zu Zeit aktualisieren, wenn dies erforderlich ist, um das EU-Datenschutzgesetz, geltende Vorschriften, Gerichtsbeschlüsse oder behördliche Anleitungen einzuhalten. Wenn der Kunde mit einer solchen Änderung nicht einverstanden ist, kann der Kunde den Vertrag mit einer Frist von dreißig (30) Tagen schriftlich gegenüber Mistplay kündigen.

‍

Angenommen und vereinbart