Hosting- und Unterauftragsverarbeiter-Anlage

Diese Anlage wird durch Verweis in die Vereinbarung einbezogen, ist Bestandteil der Vereinbarung, unterliegt dieser und entfaltet dieselbe vertragliche Wirkung, als wäre sie vollständig in ihr enthalten. Soweit die Vereinbarung oder die Auftragsverarbeitungsvereinbarung auf die vom Anbieter eingesetzten Unterauftragsverarbeiter Bezug nimmt, verweist sie auf diese Anlage in ihrer jeweils geltenden Fassung. Im Falle eines Widerspruchs geht die Vereinbarung (einschließlich der Auftragsverarbeitungsvereinbarung) vor; davon ausgenommen ist die Bestimmung der Hosting-Regionen, der Infrastrukturanbieter, der Unterauftragsverarbeiter und der herangezogenen Übermittlungsmechanismen, für die diese Anlage maßgeblich ist. Diese Anlage begründet keinen gesonderten oder zusätzlichen Anspruch; jede Haftung aus oder im Zusammenhang mit ihr unterliegt den Beschränkungen und Ausschlüssen in Ziffer 12 (Haftungsbeschränkung) der Vereinbarung und wird auf diese angerechnet.

Diese Anlage wird gemäß den Bestimmungen zu Unterauftragsverarbeitern der zur Vereinbarung gehörenden Auftragsverarbeitungsvereinbarung (und, soweit einschlägig, des DSGVO-Ergänzungsanhangs) aktualisiert. Der Anbieter kündigt jede beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters mindestens dreißig (30) Tage im Voraus an; der Lizenznehmer kann innerhalb von dreißig (30) Tagen aus berechtigten Datenschutzgründen Widerspruch einlegen, wie in jenen Bestimmungen vorgesehen.

Jede Fassung dieser Anlage trägt eine Versionsnummer und ein Datum des Inkrafttretens. Die Versionshistorie in Abschnitt 8 dokumentiert, was sich wann geändert hat.

Der Lizenznehmer wählt die Hosting-Region im jeweiligen Angebot, es sei denn, die Vereinbarung legt die Hosting-Region fest; in diesem Fall gilt die dort bestimmte Hosting-Region. Lizenznehmerdaten werden ausschließlich in der jeweiligen Hosting-Region gespeichert und verarbeitet. Eine Hosting-Region kann nach Einrichtung des Kontos nicht mehr geändert werden.

Der in der Hosting-Region Deutschland eingesetzte verwaltete Datenbankdienst ist OVHcloud Managed MongoDB, betrieben von OVHcloud. MongoDB, Inc. hat keinen Zugriff auf Lizenznehmerdaten und ist in Bezug auf diesen Dienst kein Unterauftragsverarbeiter.

3.1 Hosting-Region Deutschland

3.2 Hosting-Region Vereinigte Staaten

Fundstellen der Standardvertragsklauseln der Unterauftragsverarbeiter:

• Amazon Web Services: https://d1.awsstatic.com/legal/aws-dpa/processor-to-processor-sccs.pdf
• MongoDB: https://www.mongodb.com/legal/dpa

Die in Abschnitt 2 genannten Infrastrukturanbieter setzen zur Erbringung ihrer Leistungen eigene Unterauftragsverarbeiter ein. Jeder Anbieter führt eine eigene Liste seiner Unterauftragsverarbeiter und bleibt für diese im Rahmen seines Vertrags mit dem Anbieter verantwortlich.

Änderungen, die ein Infrastrukturanbieter an seinen eigenen Unterauftragsverarbeitern vornimmt, richten sich nach dem Vertrag zwischen dem Anbieter und diesem Infrastrukturanbieter. Betrifft eine solche Änderung die vom Lizenznehmer gewählte Hosting-Region, informiert der Anbieter den Lizenznehmer gemäß den Bestimmungen zu Unterauftragsverarbeitern der Auftragsverarbeitungsvereinbarung.

Die folgenden Unterauftragsverarbeiter sind in die administrative und geschäftliche Beziehung zum Lizenznehmer eingebunden und gelten für alle Hosting-Regionen. Sie haben keinen Zugriff auf Lizenznehmerdaten.

Dieser Abschnitt steht unter dem Vorbehalt der Bestätigung des vollständigen Kreises der Kontodaten-Verarbeiter.

Die Zahlungsabwicklung gilt nur, wenn der Lizenznehmer per Karte zahlt. Zahlt der Lizenznehmer per Rechnung und Überweisung, verarbeitet kein Zahlungs-Unterauftragsverarbeiter Kontodaten im Auftrag des Anbieters.

Hat der Lizenznehmer die Hosting-Region Deutschland gewählt, ist der Zugriff auf Lizenznehmerdaten auf befugtes Personal des Anbieters und seiner Unterauftragsverarbeiter mit Standort im Europäischen Wirtschaftsraum, im Vereinigten Königreich oder in der Schweiz beschränkt.

Der Anbieter unterhält technische und organisatorische Maßnahmen zur Durchsetzung dieser Beschränkung, darunter personalisierte Benutzerkonten, das Verbot gemeinsam genutzter oder generischer Zugangsdaten, die Protokollierung sämtlicher administrativer Zugriffe sowie die Beschränkung des Zugriffs auf Produktivumgebungen auf Personal an den vorgenannten Standorten. Diese Maßnahmen werden durch Systemkonfiguration und nicht allein durch Richtlinien durchgesetzt.

Hat der Lizenznehmer die Hosting-Region Vereinigte Staaten gewählt, werden Lizenznehmerdaten in den Vereinigten Staaten verarbeitet und es gelten die in Abschnitt 3.2 genannten Übermittlungsmechanismen.

Kontodaten werden in allen Hosting-Regionen in den Geschäftssystemen des Anbieters verarbeitet, die sich außerhalb des Europäischen Wirtschaftsraums befinden können. Die betroffenen Unterauftragsverarbeiter sind in Abschnitt 5 mit dem jeweils herangezogenen Übermittlungsmechanismus aufgeführt.

Kendis Oy ist nach ISO/IEC 27001 zertifiziert. Das aktuelle Zertifikat wird gemäß Ziffer 10 der Auftragsverarbeitungsvereinbarung (Audit und Compliance) auf Anfrage bereitgestellt.

Zertifizierungen der in Abschnitt 2 genannten Infrastrukturanbieter werden von diesen veröffentlicht und gemäß Ziffer 10 der Auftragsverarbeitungsvereinbarung (Audit und Compliance) auf Anfrage bereitgestellt.