Datenverarbeitungszusatz

Dieser Datenverarbeitungszusatz (Data Processing Addendum) und seine Anhänge (zusammen „DPA“) sind Bestandteil der Allgemeinen Geschäftsbedingungen des Betreibers oder einer anderen schriftlichen Vereinbarung zwischen der als Auftraggeber bezeichneten juristischen Person („Auftraggeber“) und Canva Austria GmbH („Betreiber“), die den Zugang des Auftraggebers zu den Diensten des Betreibers und deren Nutzung regelt („Vereinbarung“). Dieses DPA gilt für alle Dienste des Betreibers, einschließlich remove.bg, Unscreen und Designify.

Im Zuge der Bereitstellung des Dienstes für den Auftraggeber gemäß der Vereinbarung kann der Betreiber personenbezogene Kundendaten (wie nachstehend definiert) im Auftrag des Auftraggebers verarbeiten. Dieses DPA stellt die Vereinbarung zwischen den Parteien in Bezug auf die Verarbeitung personenbezogener Kundendaten nach geltendem Datenschutzrecht (wie nachstehend definiert) dar. Das DPA findet Anwendung, wenn und soweit der Betreiber im Rahmen der Vereinbarung und im Auftrag des Auftraggebers als Dienstleister oder Auftragsverarbeiter personenbezogener Kundendaten tätig wird. Dieses DPA gilt ab Inkrafttreten der Vereinbarung.

Im Falle eines Widerspruchs zwischen den Bestimmungen dieses DPA und der Vereinbarung hat das DPA Vorrang.

1. Begriffsbestimmungen und Auslegung

In diesem Zusatz werden die nachstehenden Begriffe wie folgt definiert:

„Geltendes Datenschutzrecht“ bedeutet alle weltweiten Gesetze und Vorschriften, die unmittelbar auf die Verarbeitung personenbezogener Kundendaten im Rahmen der Vereinbarung anwendbar sind, einschließlich des europäischen Datenschutzrechts, des California Consumer Protection Act 2018 („CCPA“) und des Australian Privacy Act 1988 (Cth) in der jeweils gültigen Fassung.
„Personenbezogene Kundendaten“ sind personenbezogene Daten, die vom Auftraggeber selbst oder in seinem Auftrag zur Erfassung und Verarbeitung durch den Dienst zur Verfügung gestellt werden.
„Betroffene Person“ ist eine identifizierte oder identifizierbare Person, deren personenbezogene Daten verarbeitet werden.
„Europäisches Datenschutzrecht“ bedeutet: (i) die Verordnung 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) („DSGVO“); (ii) die DSGVO, wie sie gemäß Abschnitt 3 des European Union (Withdrawal) Act 2018 in das nationale Recht des Vereinigten Königreichs umgesetzt wurde („UK GDPR“); (iii) das Schweizer Bundesgesetz über den Datenschutz vom 19. Juni 1992 und die daraus abgeleiteten Verordnungen („Schweizer DSG“); (iv) die EU Richtlinie 2002/58/EG über den Schutz der Privatsphäre in der elektronischen Kommunikation; und (v) alle nationalen Rechtsvorschriften in ihrer jeweils geltenden Fassung, die in Umsetzung der Ziffern (i) bis (iv) erlassen wurden.
„Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen, sowie alle anderen Informationen, die nach geltendem Datenschutzrecht als „personenbezogene Daten“ oder „persönliche Informationen“ definiert sind.
„Eingeschränkte Übertragung“ bedeutet (i) bei Anwendung der DSGVO eine Übermittlung personenbezogener Daten aus dem EWR in ein Drittland, für das kein Angemessenheitsbeschluss der EU-Kommission vorliegt; (ii) bei Anwendung der UK GDPR eine Übermittlung personenbezogener Daten aus dem Vereinigten Königreich ins Ausland, die nicht auf der Grundlage der Angemessenheitsvorschriften gemäß Abschnitt 17A der UK GDPR erfolgt; und (iii) bei Anwendung des Schweizer DSG eine Übermittlung personenbezogener Daten in ein Land außerhalb der Schweiz, das nicht in der vom Amt des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten veröffentlichten Liste der Staaten mit angemessenem Datenschutzniveau aufgeführt ist.
„Sicherheitsvorfall“ bezeichnet eine Umgehung der Schutzmaßnahmen des Betreibers, die den unberechtigten Zugriff auf personenbezogene Kundendaten ermöglicht und zur versehentlichen oder rechtswidrigen Vernichtung, Löschung, Änderung oder unbefugten Offenlegung dieser Daten führt.
Die Bedeutung der Begriffe „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verarbeitung“ entspricht jeweils den Definitionen nach geltendem Datenschutzrecht oder, falls dort nicht aufgeführt, den Begriffsbestimmungen der DSGVO. Ebenso sind alle Konjugationen des Verbs „verarbeiten“ entsprechend auszulegen. Die Begriffe „Unternehmen“ und „Dienstleister“ haben die im CCPA festgelegte Bedeutung.

Die in der englischen Originalfassung dieses DPA großgeschriebenen Begriffe, die hier nicht definiert sind, haben die gleiche Bedeutung wie in der Vereinbarung.

2. Verarbeitung personenbezogener Daten

2.1 Beschreibung der Verarbeitung: Die Art der personenbezogenen Kundendaten, die gemäß diesem DPA verarbeitet werden, sowie Gegenstand, Dauer, Art und Zweck der Verarbeitung und die Kategorien der betroffenen Personen sind in Anhang 1.B aufgeführt.
2.2 Beziehung zwischen den Parteien: In Bezug auf personenbezogene Kundendaten handelt der Auftraggeber als Verantwortlicher oder ggf. als Unternehmen. Der Betreiber verarbeitet personenbezogene Kundendaten ausschließlich als Auftragsverarbeiter oder ggf. als Dienstleister im Auftrag des Auftraggebers. Soweit die Begriffe „Verantwortlicher“ und „Auftragsverarbeiter“ im geltenden Datenschutzrecht nicht ausdrücklich definiert sind, sind die Pflichten der Parteien im Rahmen dieses DPA so auszulegen, dass sie diesen Rollen so weit wie möglich entsprechen und gleichzeitig das geltende Datenschutzrecht vollumfänglich eingehalten wird.
2.3 Zweckbindung Der Betreiber verarbeitet personenbezogene Kundendaten gemäß den Anforderungen des geltenden Datenschutzrechts, die für ihn bei der Erfüllung dieses DPA verbindlich sind. Der Betreiber verarbeitet personenbezogene Kundendaten in dem Umfang, der für die Erfüllung seiner Verpflichtungen aus der Vereinbarung erforderlich ist, und in strikter Übereinstimmung mit den dokumentierten Weisungen des Auftraggebers (wie in der Vereinbarung und diesem DPA, den Aufträgen und der Systemkonfiguration des Auftraggebers festgelegt oder anderweitig schriftlich vereinbart) („zulässige Zwecke“). Der Betreiber ist nicht berechtigt, (i) personenbezogene Kundendaten für andere als die zulässigen Zwecke (einschließlich eigener Geschäftsinteressen) zu speichern, zu nutzen, offenzulegen oder anderweitig zu verarbeiten, es sei denn, dies ist durch ein für den Betreiber geltendes Gesetz vorgeschrieben, oder (ii) personenbezogene Kundendaten im Sinne des CCPA oder einer anderen Definition zu „verkaufen“. Stellt der Betreiber fest, dass die Weisungen des Auftraggebers zur Verarbeitung personenbezogener Kundendaten gegen geltendes Datenschutzrecht verstoßen, wird er den Auftraggeber unverzüglich darauf hinweisen. Der Betreiber ist jedoch nicht verpflichtet, die Einhaltung des geltenden Datenschutzrechts durch den Auftraggeber aktiv zu überwachen. Die Parteien sind sich darüber im Klaren, dass die Übermittlung personenbezogener Kundendaten an den Betreiber keinen „Verkauf“ im Sinne des geltenden Datenschutzrechts darstellt und der Auftraggeber hierfür keine finanzielle oder sonstige Gegenleistung erhält.
2.4 Pflichten des Auftraggebers: Der Auftraggeber ist verpflichtet, bei der Verarbeitung personenbezogener Kundendaten im Rahmen der Nutzung des Dienstes die Anforderungen des geltenden Datenschutzrechts zu erfüllen. Die Weisungen des Auftraggebers zur Verarbeitung personenbezogener Daten müssen dem geltenden Datenschutzrecht entsprechen, einschließlich aller einschlägigen Informationspflichten gegenüber den betroffenen Personen über die Beauftragung des Betreibers als Datenverarbeiter. Der Auftraggeber trägt die alleinige Verantwortung für die Richtigkeit, Qualität und Rechtmäßigkeit der personenbezogenen Kundendaten sowie für die Art und Weise, wie diese Daten beschafft wurden. Der Auftraggeber hat zu gewährleisten, dass er zur Übermittlung der betreffenden personenbezogenen Kundendaten an den Betreiber berechtigt ist, damit der Betreiber und seine Unterauftragsverarbeiter diese Daten im Auftrag des Auftraggebers und seiner verbundenen Unternehmen rechtmäßig nutzen, verarbeiten und übermitteln können, wie in diesem DPA und der zugehörigen Vereinbarung vorgesehen.
2.5 Vertraulichkeit der Verarbeitung: Der Betreiber hat zu gewährleisten, dass alle Personen, denen er die Verarbeitung personenbezogener Daten gestattet (einschließlich seiner Mitarbeiter, Vertreter und Auftragnehmer) („befugte Personen“), einer vertraglichen oder gesetzlichen Verschwiegenheitspflicht unterliegen.
2.6 Sicherheit: Der Betreiber trifft geeignete technische und organisatorische Maßnahmen, um personenbezogene Kundendaten vor unberechtigten Zugriffen und einer versehentlichen oder rechtswidrigen Vernichtung, Löschung, Änderung oder unbefugten Offenlegung zu schützen. Dazu gehören die in Anhang 2 aufgeführten Vorkehrungen (die „Sicherheitsmaßnahmen“). Der Auftraggeber bestätigt, dass der Betreiber die Sicherheitsmaßnahmen von Zeit zu Zeit anpassen oder ändern kann, sofern hierdurch die gebotene Schutzwirkung nicht wesentlich verringert wird
2.7 Unterauftragsverarbeitung:
2.7.a Ernennung von Unterauftragsverarbeitern. Der Auftraggeber erteilt dem Betreiber die grundsätzliche Erlaubnis, externe Auftragsverarbeiter („Unterauftragsverarbeiter“) gemäß den Bestimmungen dieses Abschnitts 2.7 zu beauftragen und stimmt zu, dass der Betreiber die in der Liste der Unterauftragsverarbeiter aufgeführten Subunternehmen zur Verarbeitung personenbezogener Kundendaten für zulässige Zwecke heranziehen darf, sofern (i) der Betreiber mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung getroffen hat, die im Wesentlichen den gleichen Schutz personenbezogener Daten gewährleistet, wie ihn dieses DPA vorsieht, soweit dies für die Art der vom Unterauftragsverarbeiter erbrachten Dienstleistung relevant ist, und (ii) der Betreiber für Verstöße gegen dieses DPA, die durch Handlungen oder Unterlassungen seiner Unterauftragsverarbeiter verursacht werden, in gleichem Maße haftet, als hätte er den Verstoß selbst verursacht.
2.7.b Angabe von Unterauftragsverarbeitern. Vom Betreiber wird hier eine aktuelle Liste aller benannten Unterauftragsverarbeiter geführt („Liste der Unterauftragsverarbeiter“). Bei Neuverträgen und/oder Ersetzungen aktualisiert der Betreiber diese Liste mindestens vierzehn (14) Tage vor dem Datum, an dem der neue Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Kundendaten beginnt. Die Liste der Unterauftragsverarbeiter bietet eine Funktion, mit der der Auftraggeber Benachrichtigungen über neue und zu ersetzende Unterauftragsverarbeiter abonnieren kann. Der Auftraggeber kann sich per E-Mail über solche Änderungen in der Liste der Unterauftragsverarbeiter informieren lassen („Änderungsmitteilung“).
2.7.c Einwände gegen Unterauftragsverarbeiter. Wenn der Auftraggeber einer Änderung in Bezug auf einen Unterauftragsverarbeiter widerspricht, indem er binnen 14 Tagen nach Erhalt der Änderungsmitteilung eine E-Mail an den Dienst sendet ( [email protected] , Unscreen: [email protected] , or Designify: [email protected] ), wird der Betreiber in angemessener Weise eine Änderung des Dienstes anbieten oder eine wirtschaftlich vertretbare Neukonfiguration oder Nutzung des Dienstes empfehlen, um die Verarbeitung personenbezogener Daten durch den beanstandeten neuen Unterauftragsverarbeiter zu vermeiden, ohne dadurch den Auftraggeber über Gebühr zu belasten. Ist der Betreiber nicht in der Lage, solche Änderungen innerhalb von vierzehn (14) Tagen vorzuschlagen, so ist er berechtigt, die betreffenden Aufträge in Bezug auf die Dienste, die ohne den beanstandeten Unterauftragsverarbeiter nicht erbracht werden können, zu kündigen. In diesem Fall informiert der Betreiber den Auftraggeber schriftlich und erstattet ihm alle im Voraus gezahlten Gebühren für die verbleibende Laufzeit der Aufträge ab dem Zeitpunkt, zu dem die Kündigung der betreffenden Dienste wirksam wird.
2.8 Grenzüberschreitende Übermittlungen: Der Auftraggeber erkennt an, dass der Betreiber und seine Unterauftragsverarbeiter Kundendaten auch in Ländern außerhalb des EWR, des Vereinigten Königreichs und der Schweiz verarbeiten können. Bei eingeschränkten Übertragungen ergreift der Betreiber alle erforderlichen Maßnahmen, um sicherzustellen, dass während der Datenübermittlung die Anforderungen des geltenden Datenschutzrechts erfüllt werden.
2.9 Zusammenarbeit und die Rechte betroffener Personen: Soweit gesetzlich zulässig, zumutbar und der Art der Datenverarbeitung angemessen, unterstützt der Betreiber den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Verpflichtung zur Beantwortung (i) von Anfragen betroffener Personen nach geltendem Datenschutzrecht im Rahmen ihrer Rechte auf Auskunft, Berichtigung, Widerspruch, Löschung und Datenübertragbarkeit (soweit anwendbar) und (ii) sonstiger Schreiben, Anfragen oder Beschwerden, die von betroffenen Personen, Regulierungsbehörden oder anderen Dritten im Zusammenhang mit der Verarbeitung personenbezogener Kundendaten durch den Betreiber eingehen. Werden solche Anfragen, Schreiben oder Beschwerden direkt an den Betreiber gerichtet, ist dieser verpflichtet, den Auftraggeber unverzüglich und umfassend zu informieren.
2.10 Datenschutz-Folgenabschätzung: Soweit gesetzlich vorgeschrieben und unter Berücksichtigung der Art der Datenverarbeitung und der dem Betreiber zur Verfügung stehenden Informationen wird der Betreiber den Auftraggeber in angemessenem Umfang unterstützen, um sicherzustellen, dass dieser der nach geltendem Datenschutzrecht bestehenden Verpflichtung zur Durchführung von Datenschutz-Folgenabschätzungen nachkommen und etwaige Fragen im Zusammenhang mit der Nutzung des Dienstes mit der zuständigen Datenschutzbehörde klären kann, sofern der Auftraggeber keinen anderweitigen Zugang zu den hierfür erforderlichen Informationen hat.
2.11 Sicherheitsvorfälle: Upon becoming aware of a Security Incident, Operator shall inform Customer without undue delay. Such notice will, as required under Applicable Privacy Laws and taking into account the nature of the Processing, provide the details of the Security Incident to the extent such information is reasonably available to Operator. Operator shall further take all such measures and actions as are reasonably necessary to remedy or mitigate the effects of the Security Incident and keep Customer informed of all material developments in connection with the Security Incident. Customer will not communicate or publish any notice or admission of liability concerning any Security Incident which directly or indirectly identifies Operator (including in any legal proceeding or in any notification to regulatory authorities or affected Data Subjects) without Operator's prior approval, unless Customer is compelled to do so under applicable law. In any event, Customer shall provide Operator with reasonable prior written notice of any such communication or publication.
2.12 Löschung oder Rückgabe von Daten: Nach Beendigung oder Ablauf der Vereinbarung ist der Betreiber verpflichtet, alle personenbezogenen Daten (einschließlich aller Kopien), die sich in seinem Besitz oder unter seiner Kontrolle befinden, nach Maßgabe des Auftraggebers zu vernichten oder an den Auftraggeber zurückzugeben. Dies gilt nicht, wenn der Betreiber gesetzlich verpflichtet ist, alle oder bestimmte personenbezogene Kundendaten aufzubewahren. In diesem Fall muss der Betreiber die Daten bis zu ihrer Löschung schützen und darf sie nicht weiter verarbeiten, es sei denn, dies ist gesetzlich vorgeschriebe
2.13 Audit: Im Hinblick auf die Einhaltung dieses Datenverarbeitungszusatzes beantwortet der Betreiber schriftliche Anfragen des Auftraggebers zu durchgeführten Audits, sofern der Auftraggeber von seinem Auskunftsrecht nicht öfter als einmal jährlich Gebrauch macht
2.14 Haftung: Der Auftraggeber bestätigt und stimmt zu, dass die Haftung aus diesem DPA den in der Vereinbarung festgelegten Beschränkungen und Ausschlüssen unterliegt.
2.15 Laufzeit: Die Bestimmungen dieses DPA bleiben auch nach Beendigung oder Ablauf der Vereinbarung in Kraft.

ANHÄNGE

ANHANG 1.A. – LISTE DER PARTEIEN

Verantwortlicher:

Name: siehe Vereinbarung

Adresse: siehe Vereinbarung

Name, Funktion und Kontaktdaten der Kontaktperson: siehe Vereinbarung

Tätigkeiten, die für die gemäß diesen Klauseln übermittelten Daten von Belang sind: Der Verantwortliche ist Auftraggeber des Auftragsverarbeiters und nutzt den Dienst des Datenimporteurs, um Fotos und Videos zu bearbeiten, zu beschriften und automatisiert freizustellen.

Auftragsverarbeiter:

Name: Canva Austria GmbH

Adresse: Ungargasse 37/BT1/3.3, 1030 Wien

Name, Funktion und Kontaktdaten der Kontaktperson: siehe Vereinbarung

Tätigkeiten, die für die gemäß diesen Klauseln übermittelten Daten von Belang sind: Der Auftragsverarbeiter betreibt einen Dienst, mit dem Fotos und Videos bearbeitet, beschriftet und automatisch freigestellt werden können

ANHANG 1.B. BESCHREIBUNG DER VERARBEITUNG

Information	Beschreibung
Kategorien betroffener Personen:	Der Auftraggeber bestimmt den Umfang der an den Dienst übermittelten personenbezogenen Daten, wobei er sich auf die Daten der folgenden Kategorien betroffener Personen beschränkt: (i) interne und externe Mitarbeiter, Vertreter, Berater und Auftragnehmer des Verantwortlichen (natürliche Personen), die die Dienste nutzen, und (ii) Dritte, deren Daten Teil der Inhalte sind, die der Auftraggeber auf die Dienste hochlädt
Kategorien der personenbezogenen Daten:	Der Auftraggeber bestimmt den Umfang der an den Dienst übermittelten personenbezogenen Daten, wobei er sich auf folgende Datenkategorien beschränkt Zugangsdaten der Benutzer Kontaktdaten gewerblicher Kunden (z. B. Name, E-Mail-Adresse, Telefonnummer) nhalte (einschließlich Bilder oder Videos), die in elektronischer Form auf den Dienst hochgeladen werden und personenbezogene Daten enthalten können
Art der Verarbeitung:	Im Zuge der Bereitstellung des Dienstes gemäß den Bedingungen der Vereinbarung werden vom Betreiber personenbezogene Daten verarbeitet.
Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer:	Gemäß Abschnitt 2.13 des Zusatzes werden die personenbezogenen Daten bis zur Beendigung oder zum Ablauf der Vereinbarung aufbewahrt.

ANHANG 2 – TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN, EINSCHLIESSLICH ZUR GEWÄHRLEISTUNG DER SICHERHEIT DER DATEN

Bei der Verarbeitung von Kundendaten, die dem Betreiber gemäß der Vereinbarung über die Bereitstellung von Diensten zur Verfügung gestellt werden, wendet der Betreiber die folgenden Mindestsicherheitsstandards an.