Zusatzvereinbarung zur Auftragsverarbeitung

Realytics Corp Limited

Zuletzt aktualisiert: 5. August 2026 | Gültig ab: 5. August 2026

Diese Zusatzvereinbarung zur Auftragsverarbeitung und ihre Anhänge (das „DPA") geben die Vereinbarung zwischen Realytics und dem Kunden (wie nachstehend definiert), zusammen die „Parteien" („Parties"), in Bezug auf die Verarbeitung Personenbezogener Kundendaten im Rahmen der Nutzungsbedingungen, des Abonnementvertrags, des Bestellformulars oder einer sonstigen schriftlichen oder elektronischen Vereinbarung zwischen den Parteien wieder, die auf dieses DPA Bezug nimmt (die „Vereinbarung" („Agreement")).

Dieses DPA wird in die Vereinbarung einbezogen und ist ohne dass es einer zusätzlichen Unterzeichnung durch eine der Parteien bedarf integraler Bestandteil derselben. Für Kunden, deren interne Verfahren dies erfordern, ist eine unterzeichnungsfähige Fassung auf Anfrage unter erhältlich.

Im Falle eines Widerspruchs zwischen diesem DPA und der Vereinbarung ist dieses DPA maßgeblich. Im Falle eines Widerspruchs zwischen diesem DPA und den in Ziffer 9 genannten Standardvertragsklauseln sind die Standardvertragsklauseln maßgeblich.

1. Begriffsbestimmungen

Großgeschriebene Begriffe, die hier nicht definiert sind, haben die in der Vereinbarung festgelegte Bedeutung.

„Verbundenes Unternehmen" („Affiliate") bezeichnet ein Unternehmen, das das betreffende Unternehmen besitzt oder kontrolliert, das von diesem besessen oder kontrolliert wird oder das mit diesem unter gemeinsamem Eigentum oder gemeinsamer Kontrolle steht, wobei „Kontrolle" die Befugnis bezeichnet, die Geschäftsführung oder die Angelegenheiten eines Unternehmens zu bestimmen, und „Eigentum" das wirtschaftliche Eigentum an fünfzig Prozent (50 %) oder mehr der stimmberechtigten Wertpapiere oder gleichwertiger Stimmrechte bezeichnet.

„Anwendbares Datenschutzrecht" („Applicable Data Protection Law") bezeichnet sämtliche Rechtsvorschriften zum Datenschutz und zur Privatsphäre, die auf die Verarbeitung nach diesem DPA anwendbar sind, einschließlich der Europäischen Datenschutzgesetze, des CCPA, des Virginia Consumer Data Protection Act, des Colorado Privacy Act, des Connecticut Data Privacy Act, des Utah Consumer Privacy Act sowie weiterer anwendbarer Datenschutzgesetze der US-Bundesstaaten.

„CCPA" bezeichnet den California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung, zusammen mit den zugehörigen Durchführungsvorschriften.

„Verantwortlicher" („Controller") bezeichnet die Stelle, die über die Zwecke und Mittel der Verarbeitung Personenbezogener Daten entscheidet, einschließlich eines „business" im Sinne der Definition dieses Begriffs nach Anwendbarem Datenschutzrecht.

„Kunde" („Customer") bezeichnet die Stelle, die mit Realytics die Vereinbarung über den Zugang zu den Diensten oder deren Nutzung schließt.

„Personenbezogene Kundendaten" („Customer Personal Data") bezeichnet die in Anhang I beschriebenen Personenbezogenen Daten, die der Kunde oder seine Autorisierten Nutzer an die Dienste übermitteln, in die Dienste hochladen oder über die Dienste zugänglich machen, oder die Realytics im Auftrag des Kunden im Rahmen der Vereinbarung verarbeitet, und hinsichtlich derer der Kunde entweder Verantwortlicher oder ein im Auftrag eines dritten Verantwortlichen handelnder Auftragsverarbeiter ist.

„Betroffene Person" („Data Subject"), „Verarbeiten" („Process"), „Verarbeitet" („Processed") und „Verarbeitung" („Processing") haben jeweils die nach Anwendbarem Datenschutzrecht festgelegte Bedeutung.

„Daten auf Betriebsstättenebene" („Establishment-Level Data") bezeichnet Daten, die sich auf ein Unternehmen, eine Marke, ein Geschäft, eine Filiale, eine Verkaufsstelle, einen Veranstaltungsort oder einen sonstigen gewerblichen Standort oder eine juristische Person beziehen und die von Realytics nicht dazu verwendet werden, eine natürliche Person zu identifizieren, herauszugreifen oder ein Profil von ihr zu erstellen.

„Europäische Datenschutzgesetze" („European Data Protection Laws") bezeichnet die DSGVO, den Data Protection Act 2018 des Vereinigten Königreichs zusammen mit der UK-DSGVO sowie das Schweizer Bundesgesetz über den Datenschutz, jeweils in der geänderten oder ersetzten Fassung.

„DSGVO" („GDPR") bezeichnet die Verordnung (EU) 2016/679 sowie dieselbe Verordnung in ihrer in das Recht des Vereinigten Königreichs überführten Fassung.

„Personenbezogene Daten" („Personal Data") bezeichnet personenbezogene Daten oder personenbezogene Informationen im Sinne der Definition nach Anwendbarem Datenschutzrecht.

„Verletzung des Schutzes Personenbezogener Daten" („Personal Data Breach") bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu Personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.

„Auftragsverarbeiter" („Processor") bezeichnet die Stelle, die Personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet, einschließlich eines „service provider" im Sinne der Definition dieses Begriffs nach Anwendbarem Datenschutzrecht.

„Realytics" bezeichnet die Realytics Corp Limited, eine in Zypern unter der Nummer HE424817 eingetragene Gesellschaft mit eingetragenem Sitz in 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus, oder, sofern die Vereinbarung mit der Reality Analytics, Inc. geschlossen wird, diese Gesellschaft.

„Regulierungsbehörde" („Regulator") bezeichnet die für die Verarbeitung zuständige Aufsichts- oder Durchsetzungsbehörde.

„Dienste" („Services") bezeichnet die von Realytics für den Kunden im Rahmen der Vereinbarung erbrachten Leistungen.

„Standardvertragsklauseln" („Standard Contractual Clauses") oder „SCCs" bezeichnet die mit Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 genehmigten Standardvertragsklauseln.

„Unterauftragsverarbeiter" („Sub-Processor") bezeichnet jeden von Realytics beauftragten Auftragsverarbeiter, einschließlich eines Verbundenen Unternehmens von Realytics, der Personenbezogene Kundendaten verarbeitet.

2. Rollen und Anwendungsbereich

2.1 Rolle als Auftragsverarbeiter. In Bezug auf Personenbezogene Kundendaten ist der Kunde der Verantwortliche und Realytics der Auftragsverarbeiter. Handelt der Kunde als Auftragsverarbeiter im Auftrag eines dritten Verantwortlichen, handelt Realytics als Unterauftragsverarbeiter des Kunden, und der Kunde ist dafür verantwortlich sicherzustellen, dass seine Weisungen an Realytics durch den jeweiligen Verantwortlichen autorisiert sind. Realytics wird Personenbezogene Kundendaten ausschließlich nach Maßgabe dieses DPA und im Einklang mit den Weisungen des Kunden verarbeiten.

2.2 Rolle als Verantwortlicher. Realytics handelt als Verantwortlicher und nicht als Auftragsverarbeiter in Bezug auf Registrierungsdaten des Kontos, Angaben zu autorisierten Nutzern, Abrechnungs- und Zahlungsinformationen, Supportkorrespondenz sowie Nutzungs- und Telemetriedaten der Dienste, die Realytics zu den Zwecken der Bereitstellung, Absicherung, Unterstützung, Wartung und Verbesserung der Dienste, der Verwaltung der Kundenbeziehung, der Betrugsprävention, der Aufrechterhaltung des Geschäftsbetriebs sowie der Wahrnehmung zentraler Geschäftsfunktionen wie Buchhaltung, Abrechnung und Einhaltung rechtlicher Vorgaben verarbeitet. Die Verarbeitung dieser Daten durch Realytics als Verantwortlicher ist in der Realytics-Datenschutzerklärung beschrieben und unterliegt nicht diesem DPA.

2.3 Eigene Daten von Realytics. Die Datenbestände, die Realytics unabhängig vom Kunden zusammenstellt, lizenziert oder ableitet — einschließlich Daten, die durch das Crawlen öffentlich zugänglicher Webseiten gewonnen werden, lizenzierter Datenbestände Dritter und Daten auf Betriebsstättenebene —, sind keine Personenbezogenen Kundendaten und unterliegen nicht diesem DPA, unabhängig davon, ob sie dem Kunden über die Dienste dargestellt werden.

2.4 Verbundene Unternehmen des Kunden. Haben Verbundene Unternehmen des Kunden Abonnements für die Dienste unmittelbar im Rahmen der Vereinbarung erworben, gilt dieses DPA für diese Abonnements, und jedes dieser Verbundenen Unternehmen gilt als Verantwortlicher für seine eigenen Personenbezogenen Kundendaten. Der Kunde ist dafür verantwortlich, sämtliche Kommunikation mit Realytics nach diesem DPA für sich selbst und für seine Verbundenen Unternehmen zu koordinieren, und ist berechtigt, solche Mitteilungen in deren Namen abzugeben und entgegenzunehmen.

2.5 Dauer. Realytics wird Personenbezogene Kundendaten für die Laufzeit der Vereinbarung und danach nur insoweit verarbeiten, wie dies nach Ziffer 8 zulässig ist.

3. Pflichten des Kunden

3.1 Der Kunde wird Personenbezogene Kundendaten im Einklang mit dem Anwendbaren Datenschutzrecht verarbeiten und Weisungen an Realytics erteilen. Der Kunde trägt die alleinige Verantwortung für die Richtigkeit, Qualität und Rechtmäßigkeit der Personenbezogenen Kundendaten sowie für die Art und Weise, in der er diese Daten erlangt hat.

3.2 Der Kunde sichert zu, dass er über alle erforderlichen Rechte und eine gültige Rechtsgrundlage verfügt, um Realytics Personenbezogene Kundendaten für die in der Vereinbarung vorgesehene Verarbeitung bereitzustellen. Soweit nach Anwendbarem Datenschutzrecht erforderlich, ist der Kunde dafür verantwortlich, erforderliche Einwilligungen Betroffener Personen einzuholen und darüber Aufzeichnungen zu führen. Wird eine Einwilligung widerrufen, ist der Kunde für die Benachrichtigung von Realytics verantwortlich; Realytics bleibt für die Umsetzung einer daraus folgenden Weisung im Einklang mit diesem DPA verantwortlich.

3.3 Verbotene Daten. Der Kunde wird Folgendes nicht an die Dienste übermitteln und seinen Autorisierten Nutzern die Übermittlung nicht gestatten:

(a) besondere Kategorien Personenbezogener Daten im Sinne von Artikel 9 DSGVO, das heißt Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, genetische Daten, biometrische Daten, die zu Identifizierungszwecken verarbeitet werden, Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person;

(b) Personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten;

(c) Personenbezogene Daten von Kindern unter sechzehn (16) Jahren; oder

(d) Zahlungskartennummern, Finanzkontonummern, staatliche Identifikationsnummern oder genaue Standortdaten einer identifizierten natürlichen Person.

Die Dienste sind nicht dafür ausgelegt, die in dieser Ziffer 3.3 beschriebenen Daten zu verarbeiten, und Realytics trifft keine Pflicht und keine Haftung in Bezug auf solche Daten, sofern sie unter Verstoß gegen diese Ziffer übermittelt werden.

3.4 Freistellung. Der Kunde wird Realytics und dessen Verbundene Unternehmen gegen alle Ansprüche, Forderungen, Verfahren, Bußgelder, Verluste oder Aufwendungen (einschließlich angemessener Rechtsverfolgungskosten) verteidigen, freistellen und schadlos halten, die sich ergeben aus oder im Zusammenhang stehen mit (a) Personenbezogenen Kundendaten, für deren Bereitstellung an Realytics der Kunde keine Rechtsgrundlage oder nicht die erforderlichen Rechte hatte, (b) einem Verstoß des Kunden gegen Ziffer 3.3 oder (c) einer Weisung des Kunden, die dazu führt, dass Realytics gegen Anwendbares Datenschutzrecht verstößt, vorausgesetzt, Realytics hat den Kunden nach Ziffer 4.1(c) benachrichtigt, soweit dies möglich war.

4. Pflichten von Realytics als Auftragsverarbeiter

4.1 Soweit Realytics Personenbezogene Kundendaten im Auftrag des Kunden verarbeitet, wird Realytics:

(a) Personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden verarbeiten, wozu die Vereinbarung, dieses DPA, die Konfiguration und Nutzung der Dienste durch den Kunden sowie jede sonstige angemessene schriftliche Weisung im Einklang mit diesem DPA zählen, einschließlich in Bezug auf Übermittlungen in Drittländer, es sei denn, die Verarbeitung ist zur Einhaltung eines für Realytics geltenden Rechts erforderlich;

(b) den Kunden, sofern eine Rechtsvorschrift eine von den Weisungen des Kunden abweichende Verarbeitung verlangt, vor der Verarbeitung über diese rechtliche Anforderung informieren, sofern die betreffende Rechtsvorschrift eine solche Mitteilung nicht verbietet;

(c) den Kunden unverzüglich informieren, wenn nach Auffassung von Realytics eine Weisung des Kunden gegen Anwendbares Datenschutzrecht verstößt;

(d) sicherstellen, dass die zur Verarbeitung Personenbezogener Kundendaten befugten Personen zur Vertraulichkeit verpflichtet sind, und den Zugang auf diejenigen Personen beschränken, die ihn zur Bereitstellung, Unterstützung oder Absicherung der Dienste benötigen; und

(e) eine schriftliche Informationssicherheitsrichtlinie unterhalten, die die Verarbeitung Personenbezogener Kundendaten abdeckt.

4.2 Beschränkungen als Dienstleister und Auftragsverarbeiter. Realytics wird:

(a) Personenbezogene Kundendaten nicht über das hinaus aufbewahren, verwenden oder offenlegen, was zur Bereitstellung der Dienste und zur Erfüllung der Vereinbarung erforderlich oder nach Anwendbarem Datenschutzrecht anderweitig zulässig ist;

(b) Personenbezogene Kundendaten nicht außerhalb der unmittelbaren Geschäftsbeziehung zwischen Realytics und dem Kunden aufbewahren, verwenden oder offenlegen;

(c) Personenbezogene Kundendaten nicht „verkaufen" oder „teilen" im Sinne der Definition dieser Begriffe nach Anwendbarem Datenschutzrecht; oder

(d) Personenbezogene Kundendaten nicht mit Personenbezogenen Daten kombinieren, die von einer anderen Person oder in deren Auftrag erhalten oder aus eigenen Interaktionen von Realytics mit Einzelpersonen erhoben wurden, es sei denn, dies ist nach Ziffer 5 zulässig oder zur Bereitstellung der Dienste erforderlich.

Die Parteien erkennen an, dass die Offenlegung Personenbezogener Kundendaten durch den Kunden gegenüber Realytics nicht Teil einer geldwerten oder sonstigen werthaltigen Gegenleistung ist, die zwischen den Parteien ausgetauscht wird. Realytics wird Personenbezogenen Kundendaten dasselbe Datenschutzniveau gewähren, das vom Kunden nach Anwendbarem Datenschutzrecht verlangt wird, und wird den Kunden benachrichtigen, wenn Realytics feststellt, dass es seine Pflichten nach Anwendbarem Datenschutzrecht nicht mehr erfüllen kann.

5. Analyse auf Betriebsstättenebene und Verbesserung der Dienste

5.1 Zweck. Die Dienste funktionieren, indem sie wirtschaftliche Aktivität auf die Ebene eines Unternehmens, einer Marke oder eines physischen Standorts auflösen. Realytics ist nicht bestrebt, einzelne natürliche Personen zu identifizieren, herauszugreifen, zu profilieren oder Entscheidungen über sie zu treffen, und unternimmt keinen Versuch, natürliche Personen in einem von Realytics gehaltenen Datenbestand zu re-identifizieren.

5.2 Zulässige Nutzung. Realytics darf Daten auf Betriebsstättenebene sowie aggregierte oder statistische Daten, die aus dem Betrieb der Dienste abgeleitet werden, einschließlich aus Personenbezogenen Kundendaten abgeleiteter Daten, nutzen, um die Dienste bereitzustellen, abzusichern, zu warten, zu analysieren und zu verbessern, einschließlich zur Entwicklung, zum Training, zum Test und zur Bewertung der analytischen Modelle und der Modelle des maschinellen Lernens, die Bestandteil der Dienste sind.

5.3 Grenzen. Realytics wird Daten nach Ziffer 5.2 nur insoweit nutzen, als sie aggregiert oder auf Daten auf Betriebsstättenebene reduziert wurden, sodass sie keine natürliche Person mehr identifizieren, vernünftigerweise nicht zur Identifizierung einer natürlichen Person verwendet werden können und den Kunden nicht mehr identifizieren. Realytics wird weder Personenbezogene Kundendaten selbst noch Ergebnisse, die den Kunden identifizieren, gegenüber einem anderen Kunden offenlegen.

5.4 Daten auf Ebene einzelner Personen. Realytics hält in den den Diensten zugrunde liegenden Datenbeständen keine Datensätze auf Ebene einzelner natürlicher Personen vor und strebt solche auch nicht an.

5.5 Widerspruch. Übt eine Betroffene Person ein Widerspruchsrecht nach Artikel 21 DSGVO in Bezug auf eine nach dieser Ziffer durchgeführte Verarbeitung aus, wird Realytics diesem Widerspruch im Einklang mit dem Anwendbaren Datenschutzrecht Rechnung tragen.

6. Sicherheit

6.1 Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für Betroffene Personen wird Realytics geeignete technische und organisatorische Maßnahmen umsetzen und aufrechterhalten, um Personenbezogene Kundendaten vor einer Verletzung des Schutzes Personenbezogener Daten zu schützen. Diese Maßnahmen sind in Anhang II beschrieben.

6.2 Realytics darf die Maßnahmen in Anhang II von Zeit zu Zeit aktualisieren, sofern solche Aktualisierungen nicht zu einer wesentlichen Verschlechterung der Gesamtsicherheit der Dienste führen.

6.3 Auf schriftliche Anfrage des Kunden und vorbehaltlich der Vertraulichkeitsbestimmungen der Vereinbarung wird Realytics Informationen bereitstellen, die vernünftigerweise erforderlich sind, um die Einhaltung dieser Ziffer 6 nachzuweisen; dies kann ausgefüllte Sicherheitsfragebögen und, soweit verfügbar, Zusammenfassungen von Prüfberichten oder Zertifizierungen Dritter umfassen, die aus Sicherheits- oder Vertraulichkeitsgründen geschwärzt sein können.

6.4 Audit. Soweit Anwendbares Datenschutzrecht dies verlangt und die nach Ziffer 6.3 bereitgestellten Informationen nicht ausreichen, kann der Kunde ein Audit der Verarbeitung Personenbezogener Kundendaten durch Realytics verlangen. Ein solches Audit darf höchstens einmal innerhalb eines Zeitraums von zwölf (12) Monaten durchgeführt werden, erfordert eine schriftliche Ankündigung mit einer Frist von mindestens dreißig (30) Tagen und setzt voraus, dass die Parteien Umfang, Zeitpunkt und Dauer im Voraus vereinbaren. Der Kunde trägt seine eigenen Kosten und erstattet Realytics die angemessenen Kosten für den Zeitaufwand zur Unterstützung des Audits. Die Ergebnisse des Audits sind Vertrauliche Informationen von Realytics. Der Kunde wird Realytics unverzüglich über festgestellte Verstöße informieren, und Realytics wird wirtschaftlich angemessene Anstrengungen unternehmen, um bestätigte Verstöße zu beheben. Diese Ziffer beschränkt kein von einer Regulierungsbehörde verlangtes Audit und keine von ihr verlangte Prüfung.

7. Unterauftragsverarbeiter

7.1 Genehmigung. Der Kunde erteilt Realytics die allgemeine schriftliche Genehmigung, Verbundene Unternehmen von Realytics und Unterauftragsverarbeiter Dritter mit der Verarbeitung Personenbezogener Kundendaten im Zusammenhang mit den Diensten zu beauftragen. Dies stellt die vorherige schriftliche Genehmigung des Kunden im Sinne von Klausel 9 der Standardvertragsklauseln dar. Die aktuelle Liste der Unterauftragsverarbeiter ist unter realytics.com/legal/subprocessors verfügbar und in Anhang III wiedergegeben.

7.2 Mitteilung und Widerspruch. Realytics wird jeden neuen Unterauftragsverarbeiter durch Aktualisierung der Liste mindestens fünfzehn (15) Tage bevor diesem Unterauftragsverarbeiter Zugang zu Personenbezogenen Kundendaten gewährt wird mitteilen und einen Mechanismus bereitstellen, über den der Kunde Benachrichtigungen über Aktualisierungen abonnieren kann. Der Kunde kann innerhalb von vierzehn (14) Tagen nach der Mitteilung aus berechtigten, datenschutzbezogenen Gründen widersprechen. Antwortet der Kunde nicht innerhalb dieser Frist, gilt der Unterauftragsverarbeiter als akzeptiert.

7.3 Beilegung. Widerspricht der Kunde, werden die Parteien den Widerspruch nach Treu und Glauben erörtern. Wird innerhalb von dreißig (30) Tagen keine Einigung erzielt, kann der Kunde den betroffenen Teil der Dienste schriftlich kündigen, und Realytics wird bereits gezahlte Entgelte für den Zeitraum nach der Kündigung anteilig erstatten.

7.4 Weitergabe von Pflichten und Haftung. Realytics wird jedem Unterauftragsverarbeiter datenschutzrechtliche Pflichten auferlegen, die mindestens dasselbe Schutzniveau für Personenbezogene Kundendaten bieten wie dieses DPA. Erfüllt ein Unterauftragsverarbeiter diese Pflichten nicht, bleibt Realytics gegenüber dem Kunden für die Erfüllung der Pflichten dieses Unterauftragsverarbeiters haftbar.

8. Löschung und Rückgabe

8.1 Bei Ablauf oder Kündigung der Vereinbarung, auf schriftliche Aufforderung des Kunden oder wenn der Zweck der Verarbeitung erfüllt ist, wird Realytics Personenbezogene Kundendaten innerhalb von dreißig (30) Tagen löschen, soweit eine Aufbewahrung nicht gesetzlich vorgeschrieben ist.

8.2 In routinemäßigen Sicherungskopien enthaltene Personenbezogene Kundendaten werden im Einklang mit dem gewöhnlichen Sicherungszyklus von Realytics und in jedem Fall innerhalb von neunzig (90) Tagen nach Beendigung gelöscht.

8.3 Der Kunde kann Personenbezogene Kundendaten während der Laufzeit jederzeit ohne zusätzliches Entgelt über die Exportfunktion der Dienste exportieren. Verlangt der Kunde eine maßgeschneiderte Extraktion, die Entwicklungsaufwand erfordert, kann Realytics seine angemessenen Kosten in Rechnung stellen.

8.4 Realytics wird die Vertraulichkeit aller nach Ziffer 8.1 aufbewahrten Personenbezogenen Kundendaten wahren und diese nur insoweit verarbeiten, wie es zur Einhaltung des für Realytics geltenden Rechts erforderlich ist.

8.5 Aggregierte Daten und Daten auf Betriebsstättenebene, die vor der Beendigung rechtmäßig nach Ziffer 5 erstellt wurden und weder den Kunden noch eine natürliche Person identifizieren, unterliegen nicht der Löschung nach dieser Ziffer.

9. Internationale Übermittlungen

9.1 Standardvertragsklauseln. Werden Personenbezogene Kundendaten mit Ursprung im Europäischen Wirtschaftsraum, im Vereinigten Königreich oder in der Schweiz in ein Land übermittelt, für das kein Angemessenheitsbeschluss vorliegt, vereinbaren die Parteien, an Modul Zwei (Verantwortlicher an Auftragsverarbeiter) der Standardvertragsklauseln gebunden zu sein, die durch Bezugnahme in dieses DPA einbezogen werden. Handelt der Kunde als Auftragsverarbeiter im Auftrag eines dritten Verantwortlichen, gilt stattdessen Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter). Der Kunde erfüllt die Pflichten des Datenexporteurs und Realytics erfüllt die Pflichten des Datenimporteurs.

9.2 Wahlrechte. Für die Zwecke der Standardvertragsklauseln gilt:

(a) die fakultative Kopplungsklausel in Klausel 7 gilt, wenn eine Partei der anderen schriftlich mitteilt, dass sie erforderlich ist;

(b) in Klausel 9 gilt Option 2 (allgemeine schriftliche Genehmigung) mit der in Ziffer 7.2 festgelegten Mitteilungsfrist;

(c) in Klausel 11 findet die fakultative Formulierung zur unabhängigen Streitbeilegung keine Anwendung;

(d) in Klausel 17 gilt Option 1, und die Klauseln unterliegen dem Recht der Republik Zypern;

(e) in Klausel 18(b) werden Streitigkeiten vor den Gerichten der Republik Zypern beigelegt;

(f) Anhang I der Standardvertragsklauseln wird mit den Angaben in Anhang I zu diesem DPA und Anhang II mit den Angaben in Anhang II zu diesem DPA ausgefüllt; und

(g) der Abschluss dieses DPA gilt als Unterzeichnung der Standardvertragsklauseln und ihrer Anhänge durch jede Partei.

9.3 Vereinigtes Königreich. Für Übermittlungen, die der UK-DSGVO unterliegen, vereinbaren die Parteien das vom Information Commissioner herausgegebene UK International Data Transfer Addendum (Version B1.0), das durch Bezugnahme einbezogen wird. Tabelle 1 wird mit den Angaben zu den Parteien in Anhang I ausgefüllt; Tabelle 2 weist den Exporteur als Verantwortlichen und den Importeur als Auftragsverarbeiter aus; die Tabellen 3 und 4 werden mit den Angaben in Anhang I beziehungsweise Anhang II ausgefüllt.

9.4 Schweiz. Für Übermittlungen, die dem Schweizer Bundesgesetz über den Datenschutz unterliegen, ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte die zuständige Aufsichtsbehörde, Verweise auf die DSGVO gelten als Verweise auf das Schweizer Gesetz, und Betroffene Personen in der Schweiz können ihre Rechte in der Schweiz durchsetzen.

9.5 Weiterübermittlungen. Realytics darf Personenbezogene Kundendaten an die Reality Analytics, Inc. und an die in Anhang III aufgeführten Unterauftragsverarbeiter übermitteln, jeweils vorbehaltlich geeigneter Garantien nach Anwendbarem Datenschutzrecht.

9.6 Änderung des Übermittlungsmechanismus. Werden die Standardvertragsklauseln oder das UK Addendum geändert, ersetzt oder von einem zuständigen Gericht oder einer zuständigen Regulierungsbehörde für ungültig oder unzureichend erklärt, vereinbaren die Parteien, dass die anwendbaren Ersatz- oder aktualisierten Klauseln oder ein anderer nach Anwendbarem Datenschutzrecht gültiger Übermittlungsmechanismus ab dem Zeitpunkt ihrer Anwendbarkeit automatisch gelten und dass Realytics ohne Änderung dieses DPA zusätzliche Garantien umsetzen darf.

10. Rechte Betroffener Personen und Unterstützung

10.1 Erhält Realytics von einer Betroffenen Person einen Antrag auf Ausübung der Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch in Bezug auf Personenbezogene Kundendaten, wird Realytics die Betroffene Person, soweit rechtlich zulässig, unverzüglich darauf hinweisen, dass der Antrag an den Kunden zu richten ist, und den Kunden über den Antrag informieren.

10.2 Unter Berücksichtigung der Art der Verarbeitung wird Realytics den Kunden durch geeignete technische und organisatorische Maßnahmen, soweit nach vernünftigem Ermessen möglich, bei der Erfüllung seiner Pflicht zur Beantwortung solcher Anträge unterstützen. Kann der Kunde einen Antrag nicht über die Funktionen der Dienste bearbeiten, wird Realytics wirtschaftlich angemessene Anstrengungen zur Unterstützung unternehmen.

10.3 Auf Anfrage des Kunden und unter Berücksichtigung der Art der Verarbeitung sowie der Realytics zur Verfügung stehenden Informationen wird Realytics dem Kunden angemessene Unterstützung bei der Durchführung einer Datenschutz-Folgenabschätzung im Zusammenhang mit der Nutzung der Dienste durch den Kunden sowie bei einer vorherigen Konsultation einer Regulierungsbehörde nach Artikel 36 DSGVO leisten, jeweils soweit der Kunde nicht anderweitig Zugang zu den einschlägigen Informationen hat.

11. Verletzung des Schutzes Personenbezogener Daten

11.1 Realytics wird den Kunden über eine Verletzung des Schutzes Personenbezogener Daten, die Personenbezogene Kundendaten betrifft, unverzüglich und in jedem Fall innerhalb von zweiundsiebzig (72) Stunden nach Kenntniserlangung unter Verwendung der vom Kunden hierfür angegebenen Kontaktdaten benachrichtigen. Der Kunde ist dafür verantwortlich, diese Angaben aktuell zu halten.

11.2 Die Benachrichtigung enthält, soweit zu diesem Zeitpunkt bekannt, die Art der Verletzung, die Kategorien und die ungefähre Menge der betroffenen Personenbezogenen Kundendaten, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Sind die Informationen zum Zeitpunkt der Benachrichtigung nicht verfügbar, wird Realytics sie schrittweise bereitstellen, sobald sie verfügbar werden.

11.3 Realytics wird wirtschaftlich angemessene Schritte unternehmen, um die Verletzung einzudämmen und zu beheben, soweit die Behebung in seinem Einflussbereich liegt, und wird den Kunden angemessen unterstützen, damit dieser Regulierungsbehörden sowie Betroffene Personen, die von der Verletzung betroffen sind, benachrichtigen kann, sofern er hierzu verpflichtet ist.

11.4 Der Kunde ist allein dafür verantwortlich, die für ihn geltenden Pflichten zur Meldung von Verletzungen sowie etwaige Meldepflichten gegenüber Dritten zu erfüllen.

11.5 Diese Ziffer gilt nicht für eine Verletzung des Schutzes Personenbezogener Daten, die durch den Kunden, seine Autorisierten Nutzer oder durch nicht von Realytics bereitgestellte Produkte oder Dienstleistungen verursacht wurde.

11.6 Die Benachrichtigung über eine Verletzung des Schutzes Personenbezogener Daten durch Realytics stellt kein Anerkenntnis eines Verschuldens oder einer Haftung dar.

12. Allgemeines

12.1 Haftung. Die Haftung jeder Partei und ihrer Verbundenen Unternehmen, die sich aus diesem DPA ergibt oder damit im Zusammenhang steht, unterliegt, gleich ob sie auf Vertrag, unerlaubter Handlung oder einer sonstigen Haftungsgrundlage beruht, den in der Vereinbarung festgelegten Haftungsbeschränkungen und Haftungsausschlüssen. Jeder Verweis in der Vereinbarung auf die Haftung einer Partei bezeichnet die Gesamthaftung dieser Partei und aller ihrer Verbundenen Unternehmen aus der Vereinbarung und sämtlichen Zusatzvereinbarungen zur Auftragsverarbeitung zusammen. Nichts in diesem DPA beschränkt eine Haftung, die nach Anwendbarem Datenschutzrecht nicht beschränkt werden kann, einschließlich der Rechte einer Betroffenen Person nach den Artikeln 79 und 82 DSGVO.

12.2 Anwendbares Recht. Dieses DPA unterliegt dem für die Vereinbarung geltenden Recht. Bestimmt die Vereinbarung kein anwendbares Recht, unterliegt dieses DPA dem Recht der Republik Zypern, und die Gerichte Zyperns sind ausschließlich zuständig, vorbehaltlich der Ziffern 9.2(e) und 9.3.

12.3 Rangfolge. Dieses DPA geht entgegenstehenden Bestimmungen der Vereinbarung in Bezug auf die Verarbeitung Personenbezogener Kundendaten vor. Soweit sie nicht durch dieses DPA geändert wird, bleibt die Vereinbarung in vollem Umfang in Kraft.

12.4 Änderungen dieses DPA. Realytics darf dieses DPA aktualisieren, um Änderungen des Anwendbaren Datenschutzrechts, der Dienste oder seiner Unterauftragsverarbeiter Rechnung zu tragen, sofern keine Aktualisierung den Schutz Personenbezogener Kundendaten wesentlich verringert. Realytics wird wesentliche Änderungen mindestens dreißig (30) Tage im Voraus durch Veröffentlichung des aktualisierten DPA und, sofern der Kunde Benachrichtigungen abonniert hat, per E-Mail mitteilen.

12.5 Salvatorische Klausel. Sollte eine Bestimmung dieses DPA unwirksam oder undurchsetzbar sein, bleibt der übrige Teil wirksam.

12.6 Keine Partnerschaft. Nichts in diesem DPA begründet eine Partnerschaft, ein Joint Venture oder ein Vertretungsverhältnis zwischen den Parteien.

12.7 Laufzeit. Dieses DPA tritt mit dem Wirksamkeitsdatum der Vereinbarung in Kraft und endet automatisch mit Ablauf oder Kündigung der Vereinbarung, mit Ausnahme der Bestimmungen, die ihrer Natur nach fortgelten, einschließlich der Ziffern 8, 9 und 12.1.

12.8 Kontakt. Fragen zu diesem DPA können an gesendet werden. Sicherheitsangelegenheiten können an gesendet werden.

Anhang I — Beschreibung der Verarbeitung

A. Liste der Parteien

Datenexporteur (Verantwortlicher): Der Kunde, wie in der Vereinbarung angegeben. Für die Übermittlung relevante Tätigkeiten: Bezug der Dienste im Rahmen der Vereinbarung. Unterschrift und Datum: Der Abschluss dieses DPA gilt als Unterzeichnung dieses Anhangs durch den Kunden.

Datenimporteur (Auftragsverarbeiter): Die in der Vereinbarung angegebene Realytics-Gesellschaft, also entweder die Realytics Corp Limited, Registrierungsnummer HE424817, 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus, oder die Reality Analytics, Inc., 1000 N. West Street, Suite 1200, Wilmington, Delaware 19801, United States. Kontakt: . Für die Übermittlung relevante Tätigkeiten: Erbringung der Dienste für den Kunden im Rahmen der Vereinbarung. Unterschrift und Datum: Der Abschluss dieses DPA gilt als Unterzeichnung dieses Anhangs durch Realytics.

B. Beschreibung der Übermittlung

C. Zuständige Aufsichtsbehörde

Das Amt des Beauftragten für den Schutz personenbezogener Daten der Republik Zypern.

Anhang II — Technische und organisatorische Maßnahmen

Realytics unterhält technische und organisatorische Maßnahmen, die darauf ausgelegt sind, Personenbezogene Kundendaten vor einer Verletzung des Schutzes Personenbezogener Daten zu schützen, unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie des Risikos für Betroffene Personen. Realytics veröffentlicht keine detaillierten Angaben zur Systemarchitektur oder zur Umsetzung von Sicherheitsmaßnahmen, soweit dies ein Sicherheitsrisiko schaffen würde.

A. Zugriffskontrolle

Realytics beschränkt den Zugang zu Personenbezogenen Kundendaten auf Personen, die den Zugang zur Bereitstellung, Unterstützung, Wartung oder Absicherung der Dienste benötigen. Der Zugang wird rollenbasiert erteilt, erfordert eine Authentifizierung und wird entzogen, sobald er nicht mehr erforderlich ist. Personen mit Zugang zu Personenbezogenen Kundendaten sind zur Vertraulichkeit verpflichtet.

B. Übertragungssicherheit

Realytics schützt Personenbezogene Kundendaten, die über öffentliche Netze übertragen werden, durch Verschlüsselung während der Übertragung, soweit dies technisch angemessen ist.

C. Trennung und Datenminimierung

Realytics setzt logische Kontrollen ein, die darauf ausgelegt sind, Kundenumgebungen und Daten innerhalb der Dienste voneinander zu trennen. Realytics beschränkt die Verarbeitung Personenbezogener Kundendaten auf das, was für die in der Vereinbarung und in diesem DPA beschriebenen Zwecke erforderlich ist, und nutzt Aggregation, Anonymisierung oder Daten auf Betriebsstättenebene, soweit der Zweck dies zulässt.

D. Sicherungen und Ausfallsicherheit

Realytics unterhält Sicherungs- und Wiederherstellungsmaßnahmen, die darauf ausgelegt sind, die Verfügbarkeit und Wiederherstellung der Dienste und der Personenbezogenen Kundendaten nach einem Vorfall zu unterstützen, vorbehaltlich der Leistungsstufe der Dienste und der Vereinbarung.

E. Vorfallmanagement

Realytics unterhält Verfahren zur Erkennung, Untersuchung, Eindämmung und Behebung von Sicherheitsvorfällen, die die Dienste betreffen.

F. Verwaltung von Unterauftragsverarbeitern

Realytics schließt Verträge mit Unterauftragsverarbeitern zu Bedingungen, die datenschutzrechtliche Pflichten mit mindestens demselben Schutzniveau wie dieses DPA auferlegen, und pflegt die in Ziffer 7 beschriebene veröffentlichte Liste der Unterauftragsverarbeiter.

Anhang III — Unterauftragsverarbeiter

Hinweise. Die Hetzner Online GmbH stellt dedizierte Bare-Metal-Server und Rechenzentrumsinfrastruktur bereit. Realytics gewährt Hetzner keinen Zugang zu Personenbezogenen Kundendaten, und Hetzner verarbeitet keine Personenbezogenen Kundendaten im Auftrag von Realytics; die Nennung erfolgt aus Transparenzgründen als Anbieter von Hosting-Infrastruktur.

Meta Platforms, TikTok, LinkedIn und Google Ads werden von Realytics für eigene Marketing- und Werbeaktivitäten genutzt, bei denen Realytics als Verantwortlicher handelt. Sie verarbeiten keine Personenbezogenen Kundendaten und sind daher keine Unterauftragsverarbeiter nach diesem DPA. Ihre Rolle ist in der Realytics-Datenschutzerklärung beschrieben.

Realytics gestattet den vorstehend aufgeführten Unterauftragsverarbeitern, die KI-Modellinferenz bereitstellen, nicht, Personenbezogene Kundendaten zum Training ihrer eigenen Modelle zu verwenden, und schließt mit ihnen Verträge zu Bedingungen, die eine solche Nutzung ausschließen.