Anhang zur Datenverarbeitung

Dieser Anhang zur Datenverarbeitung („Data Processing Addendum, DPA“) ergänzt die Vereinbarung zwischen CircleCo, Inc. („Circle“) und dem Kunden, der den Creator-Nutzungsbedingungen zustimmt (oder in dessen Namen ein Administrator zustimmt) (der „Kunde“), in Bezug auf die Übermittlung und Verarbeitung von abgedeckten Daten im Zusammenhang mit der Erbringung der Services.

DEFINITIONEN
1. Begriffe, die in Großbuchstaben verwendet, aber nicht in diesem DPA definiert sind, haben die in den Circle-Nutzungsbedingungen festgelegte Bedeutung. Die folgenden in diesem DPA verwendeten Begriffe in Großbuchstaben werden wie folgt definiert:
  1. „Vereinbarung“ bezeichnet die Vereinbarung zwischen Circle und dem Kunden, die die Circle Nutzungsbedingungen umfasst.
  2. „Anwendbare Datenschutzgesetze“ bezeichnet alle anwendbaren Gesetze, Regeln, Vorschriften und behördlichen Anforderungen in Bezug auf den Datenschutz, die Vertraulichkeit oder die Sicherheit personenbezogener Daten, wie sie von Zeit zu Zeit geändert oder anderweitig aktualisiert werden können, einschließlich (ohne Einschränkung) der DSGVO, der Schweizer Datenschutzgesetze und der US-Datenschutzgesetze.
  3. „CCPA“ bezeichnet den California Consumer Privacy Act von 2018, Cal. Civ Code 1798,100 ff. In der geänderten Fassung, einschließlich seiner Durchführungsbestimmungen und des California Privacy Rights Act von 2020.
  4. „Vertragsverwaltungs- und Marketingdaten“ bezeichnet die personenbezogenen Daten, die von Circle direkt von Administratoren erhoben werden, wie in Teil 2 von Anhang 1 näher beschrieben.
  5. „ Zwecke des Verantwortlichen“ bezeichnet die in Anhang 1 Teil 2 genannten Zwecke.
  6. „Abgedeckte Daten“ bezeichnet personenbezogene Daten, die: (a) von Circle oder im Namen des Kunden in Verbindung mit den Services bereitgestellt werden; oder (b) von Circle oder seinen Vertretern oder Subunternehmern für die Zwecke der Erbringung der Services erworben, entwickelt, produziert oder anderweitig verarbeitet werden, jeweils wie in Teil 1 von Anhang 1 näher beschrieben.
  7. „Betroffene Person“ bezeichnet eine natürliche Person, deren personenbezogene Daten verarbeitet werden.
  8. „Entpersonifizierte Daten“ bezeichnet Daten, die unter Verwendung von abgedeckten Daten erstellt wurden und nicht direkt oder indirekt mit diesen abgedeckten Daten verknüpft werden können.
  9. „EWR“ bezeichnet den Europäischen Wirtschaftsraum einschließlich der Europäischen Union („EU“).
  10. „Datum des Inkrafttretens“ bezeichnet das Datum des Inkrafttretens der Vereinbarung.
  11. „DSGVO“ bezeichnet die Verordnung (EU) 2016/679 (die „EU-DSGVO“) oder gegebenenfalls die „UK-DSGVO“ im Sinne von Abschnitt 3 des Datenschutzgesetzes von 2018 oder gegebenenfalls der gleichwertigen Bestimmung des schweizerischen Datenschutzrechts.
  12. „Mitgliedstaat“ bezeichnet einen Mitgliedstaat des EWR, der ein Mitgliedstaat der Europäischen Union, Island, Norwegen oder Liechtenstein ist.
  13. „Personenbezogene Daten“ bezeichnet alle Daten oder Informationen, die: (a) mit einer identifizierten oder identifizierbaren natürlichen Person verknüpft sind oder vernünftigerweise verknüpft werden können; oder (b) anderweitig als „personenbezogene Daten“, „persönliche Informationen“, „personenbezogen identifizierbare Informationen“ oder ähnlich definierte Daten oder Informationen nach den jeweils anwendbaren Datenschutzgesetzen eingestuft werden.
  14. „Verarbeitung“ bezeichnet jeden Vorgang oder jede Vorgangsreihe, die an personenbezogenen Daten oder an Datensätzen personenbezogener Daten durchgeführt wird, unabhängig davon, ob dies automatisiert erfolgt oder nicht. „Verarbeiten“, „Verarbeitungen“ und „Verarbeitet“ sind entsprechend auszulegen.
  15. „Unzulässige personenbezogene Daten“ bedeutet: (A) personenbezogene Daten, die die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, strafrechtliche Verurteilungen oder sonstige in Artikel 9 DSGVO genannte besondere Kategorien personenbezogener Daten offenlegen oder die nach den jeweils geltenden Datenschutzgesetzen anderweitig als sensible personenbezogene Daten gelten; (b) biometrische Kennungen oder Vorlagen; (c) Finanzinformationen (einschließlich, jedoch nicht beschränkt auf Rechnungsinformationen sowie Karteninhaber- oder sensible Authentifizierungsdaten, wie diese Begriffe im Payment Card Industry Data Security Standard definiert sind); (d) personenbezogen identifizierbare Finanzinformationen, wie sie im Gramm-Leach-Bliley Financial Modernization Act von 1999 definiert und geregelt sind; (e) nationale Identifikationsnummern (einschließlich, jedoch nicht beschränkt auf Sozialversicherungsnummern, Versicherungsnummern, Führerschein- oder Reisepassnummern oder andere staatlich ausgestellte Identifikationsnummern); (f) Informationen über Personen unter 13 Jahren; (g) Bildungsaufzeichnungen, wie sie im Family Educational Rights and Privacy Act von 1974 definiert sind; (h) geschützte Gesundheitsinformationen, wie sie im Health Insurance Portability and Accountability Act definiert und geregelt sind.
  16. „Sicherheitsvorfall“ bezeichnet eine tatsächliche oder vermutete Sicherheitsverletzung, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf (einschließlich unbefugtem internem Zugriff auf) abgedeckte Daten führt.
  17. „Standardvertragsklauseln“ oder „SCCs“ bezeichnet die den Standardvertragsklauseln beigefügten Anlagen zur Durchführungsentscheidung der Kommission (EU) 2021/914.
  18. „Unterauftragsverarbeiter“ bezeichnet eine Einheit, die von Circle ernannt wird, um abgedeckte Daten in dessen Auftrag zu verarbeiten.
  19. „Schweizer Datenschutzgesetze“ bezeichnet das Schweizer Bundesgesetz über den Datenschutz vom 19. Juni 1992 sowie die Schweizer Verordnung zum Bundesgesetz über den Datenschutz vom 14. Juni 1993 und jede neue oder geänderte Fassung dieser Gesetze, die von Zeit zu Zeit in Kraft treten kann.
  20. „UK“ bezeichnet das Vereinigte Königreich.
  21. „US-Datenschutzgesetze“ bezeichnet alle jeweils geltenden bundesstaatlichen und staatlichen Gesetze, Vorschriften, Regeln und behördlichen Anforderungen in den Vereinigten Staaten, die den Datenschutz, die Verarbeitung personenbezogener Daten, die Privatsphäre und/oder den Datenschutz betreffen, einschließlich (aber nicht beschränkt auf): den California Consumer Privacy Act (CCPA), den Virginia Consumer Data Protection Act, Code of Virginia Title 59.1 Chapter 52 § 59.1‑571 ff., den Colorado Privacy Act, Colorado Revised Statute Title 6 Article 1 Part 13 § 6‑1‑1301 ff., den Utah Consumer Privacy Act, Utah Code § 13‑6‑101 ff., sowie Connecticut Senate Bill 6, An Act Concerning Personal Data Privacy and Online Monitoring (in der jeweils geltenden Fassung).
  22. „Nutzungs- und Feedback-Daten“ bezeichnet die personenbezogenen Daten, die von Circle direkt von Administratoren und autorisierten Nutzern erhoben werden, wie in Teil 2 von Anhang 1 näher beschrieben.
2. Die Begriffe „Verantwortlicher“, „betroffene Person“, „personenbezogene Daten“, „Auftragsverarbeiter“ und „Verarbeitung“ sind entsprechend den jeweils geltenden Datenschutzgesetzen auszulegen.
UMGANG MIT DER VEREINBARUNG
1. Dieses DPA ist in die Vereinbarung aufgenommen und bildet einen wesentlichen Bestandteil derselben. Dieses DPA ergänzt die Vereinbarung und ersetzt im Falle von Widersprüchen hinsichtlich der Verarbeitung abgedeckter Daten die Vereinbarung.
ROLLE DER PARTEIEN
1. Die Parteien erkennen an und stimmen Folgendem zu:
  1. Vorbehaltlich der Bestimmungen in den Abschnitten 3.1.2 und 3.1.3 agiert Circle bei der Erfüllung seiner Verpflichtungen aus der Vereinbarung und diesem DPA als Auftragsverarbeiter oder Dienstleister, und der Kunde handelt als Verantwortlicher oder Unternehmen;
  2. Circle agiert als Verantwortlicher oder Unternehmen für die Verarbeitung von Vertragsverwaltungs- und Marketingdaten im Rahmen der Zwecke des Verantwortlichen; und
  3. Für die Zwecke der DSGVO und der Schweizer Datenschutzgesetze handelt Circle als Verantwortlicher in Bezug auf die Verarbeitung von Nutzungs- und Feedback-Daten für die Zwecke des Verantwortlichen.
DETAILS DER DATENVERARBEITUNG
1. Die Einzelheiten der Verarbeitung personenbezogener Daten im Rahmen der Vereinbarung und dieses DPA (einschließlich Gegenstand, Art und Zweck der Verarbeitung, Kategorien personenbezogener Daten und betroffener Personen) sind in der Vereinbarung und in Anhang 1 zu diesem DPA beschrieben.
2. Circle erfüllt seine Pflichten gemäß den jeweils geltenden Datenschutzgesetzen. Vorbehaltlich der Bestimmungen in den Abschnitten 3.1.2 und 3.1.3 verarbeitet Circle abgedeckte Daten ausschließlich im Auftrag und gemäß den Weisungen des Verantwortlichen sowie in Übereinstimmung mit den jeweils geltenden Datenschutzgesetzen. Die Vereinbarung und dieses DPA stellen die Weisungen des Kunden für die Verarbeitung abgedeckter Daten dar. Der Kunde kann weitere schriftliche Weisungen gemäß diesem DPA erteilen.
3. Ohne das Vorstehende einzuschränken, und mit Ausnahme der in den Abschnitten 3.1.2 und 3.1.3 festgelegten Fälle, darf Circle nicht:
  1. abgedeckte Daten verkaufen oder diese abgedeckten Daten anderweitig Dritten gegen Geld oder andere wertvolle Gegenleistungen bereitstellen;
  2. abgedeckte Daten mit Dritten für kontextübergreifende Verhaltenswerbung teilen;
  3. abgedeckte Daten nur für die in der Vereinbarung festgelegten Geschäftszwecke verwenden, aufbewahren oder offenlegen; jede anderweitige Nutzung ist unzulässig, es sei denn, sie ist nach den jeweils geltenden Datenschutzgesetzen erlaubt:
  4. abgedeckte Daten nur im Rahmen der direkten Geschäftsbeziehung zwischen den Parteien aufbewahren, verwenden oder offenlegen; jede Nutzung darüber hinaus ist unzulässig; und
  5. abgedeckte Daten, soweit nicht anderweitig durch die jeweils geltenden Datenschutzgesetze erlaubt, mit personenbezogenen Daten kombinieren, die Circle von oder im Auftrag einer anderen Person erhält oder aus eigener Interaktion mit der betroffenen Person erhebt.
4. Circle wird:
  1. dem Kunden Informationen bereitstellen, die es dem Kunden ermöglichen, alle nach den jeweils geltenden Datenschutzgesetzen erforderlichen Datenschutzprüfungen durchzuführen und zu dokumentieren; und
  2. den Kunden unverzüglich informieren, falls nach Auffassung von Circle eine Weisung des Kunden oder des Verantwortlichen des Kunden gegen die jeweils geltenden Datenschutzgesetze verstößt.
EINHALTUNG
1. Der Kunde hält seine Verpflichtungen als Verantwortlicher, Unternehmen oder vergleichbare Funktion nach den jeweils geltenden Datenschutzgesetzen ein und wird:
  1. den betroffenen Personen alle Informationen zur Verfügung stellen, die im Zusammenhang mit der Nutzung der Services durch den Kunden erforderlich sind und die Verarbeitung ihrer abgedeckten Daten gemäß den jeweils geltenden Datenschutzgesetzen betreffen;
  2. soweit für die rechtmäßige Verarbeitung abgedeckter Daten nach den jeweils geltenden Datenschutzgesetzen erforderlich, von den betroffenen Personen wirksame Einwilligungen für eine solche Verarbeitung in der Form einholen, die nach den jeweils geltenden Datenschutzgesetzen vorgeschrieben ist;
  3. geeignete technische und organisatorische Maßnahmen umsetzen, um die Rechte der betroffenen Personen gemäß den jeweils geltenden Datenschutzgesetzen zu gewährleisten, und Anfragen von betroffenen Personen zur Ausübung ihrer Rechte innerhalb der in den jeweils geltenden Datenschutzgesetzen festgelegten Fristen und unter Berücksichtigung etwaiger Ausnahmen bearbeiten; und
  4. sicherstellen, dass abgedeckte Daten keine unzulässigen personenbezogenen Daten enthalten.
VERTRAULICHKEIT UND OFFENLEGUNG
1. Circle wird:
  1. den Zugriff auf abgedeckte Daten auf Mitarbeiter beschränken, die geschäftlich berechtigt sind, auf diese abgedeckten Daten zuzugreifen; und
  2. sicherstellen, dass diese Mitarbeiter Verpflichtungen unterliegen, die den Schutz der abgedeckten Daten mindestens so stark gewährleisten wie die Bestimmungen dieses DPA und der Vereinbarung, einschließlich der Geheimhaltungspflichten hinsichtlich aller abgedeckten Daten, auf die sie Zugriff haben.
UNTERAUFTRAGSVERARBEITER
1. Circle darf abgedeckte Daten an jedem Ort verarbeiten, an dem Circle oder seine Unterauftragsverarbeiter Einrichtungen unterhalten, vorbehaltlich der weiteren Bestimmungen dieses Abschnitts 7.
2. Der Kunde erteilt Circle die allgemeine Ermächtigung, jeden in Anhang 4 aufgeführten Unterauftragsverarbeiter, wie in Abschnitt 7.4 geändert (die „autorisierten Unterauftragsverarbeiter“) mit der Verarbeitung abgedeckter Daten zu beauftragen.
3. Circle wird:
  1. mit jedem autorisierten Unterauftragsverarbeiter eine schriftliche Vereinbarung schließen, die Datenschutzpflichten auferlegt, die im Wesentlichen nicht weniger schützend für abgedeckte Daten sind als die Verpflichtungen von Circle aus diesem DPA; und
  2. für die Einhaltung der Verpflichtungen aus diesem DPA durch jeden autorisierten Unterauftragsverarbeiter haftbar bleiben.
4. Circle wird den Kunden mindestens dreißig (30) Tage im Voraus über vorgeschlagene Änderungen bei den autorisierten Unterauftragsverarbeitern informieren. Der Kunde wird Circle benachrichtigen, falls er der vorgeschlagenen Änderung der autorisierten Unterauftragsverarbeiter widerspricht (einschließlich, falls zutreffend, bei Ausübung seines Widerspruchsrechts gemäß Klausel 9(a) der SCCs), indem er Circle innerhalb von dreißig (30) Tagen nach Erhalt der Mitteilung über die vorgeschlagene Änderung schriftlich über seinen Widerspruch informiert (ein „Widerspruch“).
5. Für den Fall, dass der Kunde einen Widerspruch einreicht, werden Circle und der Kunde in gutem Glauben zusammenarbeiten, um eine für beide Seiten akzeptable Lösung zur Behandlung dieses Widerspruchs zu finden. Wenn Circle und der Kunde innerhalb eines angemessenen Zeitrahmens, der dreißig (30) Tage ab dem Datum des Widerspruchs nicht überschreiten darf, keine für beide Seiten akzeptable Lösung erzielen können, kann der Kunde den Teil der Vereinbarung, der die von der Änderung betroffenen Services regelt, durch schriftliche Mitteilung an Circle kündigen.
ANFRAGEN ZU DEN RECHTEN DER BETROFFENEN PERSONEN
1. Circle wird den Kunden unverzüglich über jede Anfrage informieren, die Circle oder ein autorisierter Unterauftragsverarbeiter von einer betroffenen Person erhält, um deren Rechte in Bezug auf abgedeckte Daten gemäß den jeweils geltenden Datenschutzgesetzen geltend zu machen (eine „ Anfrage einer betroffenen Person“).
2. Mit Ausnahme der in den Abschnitten 3.1.2 und 3.1.3 genannten Verarbeitungen liegt die alleinige Entscheidung über die Beantwortung einer Anfrage einer betroffenen Person beim Kunden, und Circle wird die Anfrage einer betroffenen Person nicht beantworten, mit der Maßgabe, dass Circle der betroffenen Person mitteilen darf, dass ihre Anfrage an den Kunden weitergeleitet wurde.
3. Circle wird dem Kunden angemessene Unterstützung leisten, wenn dies erforderlich ist, damit der Kunde seine Verpflichtung gemäß den geltenden Datenschutzgesetzen zur Beantwortung von Anfragen betroffener Personen erfüllen kann.
SICHERHEIT
1. Circle wird geeignete technische und organisatorische Maßnahmen zum Datenschutz und zur Datensicherheit umsetzen und aufrechterhalten, die darauf ausgelegt sind, die Sicherheit der abgedeckten Daten zu gewährleisten, einschließlich, aber nicht beschränkt auf den Schutz vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor versehentlichem Verlust, Zerstörung oder Beschädigung von oder an abgedeckten Daten.
2. Bei der Bewertung des angemessenen Sicherheitsniveaus berücksichtigt Circle die Art, den Umfang, den Kontext und den Zweck der Verarbeitung sowie die durch die Verarbeitung entstehenden Risiken, insbesondere im Hinblick auf versehentliche oder unrechtmäßige Zerstörung, den Verlust, die Veränderung, die unbefugte Offenlegung oder den Zugriff auf abgedeckte Daten.
3. Circle wird die in Anhang 2 aufgeführten Maßnahmen als Mindeststandard umsetzen und beibehalten.
INFORMATIONEN UND PRÜFUNGEN
1. Circle benachrichtigt den Kunden umgehend, wenn Circle feststellt, dass Circle seinen Verpflichtungen gemäß den geltenden Datenschutzgesetzen nicht mehr nachkommen kann.
2. Der Kunde kann angemessene und geeignete Maßnahmen ergreifen, um:
  1. sicherzustellen, dass Circle abgedeckte Daten in einer Weise verwendet, die mit den Verpflichtungen des Kunden gemäß den jeweils geltenden Datenschutzgesetzen übereinstimmt; und
  2. nach angemessener Mitteilung die unbefugte Nutzung abgedeckter Daten zu unterbinden und zu beheben.
3. Der Kunde kann höchstens einmal jährlich die Einhaltung dieses DPA durch Circle prüfen. Die Parteien stimmen zu, dass sämtliche Prüfungen unter den folgenden Bedingungen erfolgen:
  1. nach angemessener schriftlicher Mitteilung an Circle;
  2. nur während der regulären Geschäftszeiten von Circle; und
  3. auf eine Weise, die die Geschäftstätigkeit oder den Betrieb von Circle nicht wesentlich beeinträchtigt.
4. Bei Prüfungen gemäß Abschnitt 10.3 gilt Folgendes:
  1. Der Kunde kann einen externen Prüfer beauftragen, die Prüfung in seinem Namen durchzuführen;
  2. Circle ist nicht verpflichtet, eine derartige Prüfung zu ermöglichen, sofern die Parteien nicht zuvor schriftlich den Umfang und den Zeitpunkt dieser Prüfung vereinbart haben.
5. Der Kunde muss Circle unverzüglich über alle bei einer Prüfung festgestellten Verstöße informieren.
6. Die Ergebnisse der Prüfung gelten als vertrauliche Informationen von Circle.
7. Circle kann als Reaktion auf eine vom Kunden an Circle übermittelte Prüfungsanfrage Folgendes bereitstellen:
  1. Datenschutz-Zertifizierungen, die von einem allgemein anerkannten Zertifizierer ausgestellt wurden, der von einem Datensicherheitsexperten oder von einem öffentlich zertifizierten Prüfungsunternehmen geprüft wurde; oder
  2. weitere Dokumentationen, die in angemessener Weise belegen, dass die technischen und organisatorischen Datenschutz- und Sicherheitsmaßnahmen entsprechend den branchenüblichen Standards implementiert wurden.
8. Wenn eine vom Kunden angeforderte Prüfung durch die von Circle gemäß Abschnitt 10.7 bereitgestellten Unterlagen oder Zertifizierungen abgedeckt ist, und:
  1. die Zertifizierung oder Unterlagen nicht älter als zwölf (12) Monate ab dem Datum der Prüfungsanfrage des Kunden sind; und
  2. Circle bestätigt, dass keine wesentlichen Änderungen bei den geprüften Kontrollen bekannt sind,
  3. erklärt sich der Kunde damit einverstanden, diese Zertifizierung oder Unterlagen anstelle der Durchführung einer physischen Prüfung der durch die betreffende Zertifizierung oder Unterlagen abgedeckten Kontrollen zu akzeptieren.
SICHERHEITSVORFÄLLE
1. Circle benachrichtigt den Kunden unverzüglich schriftlich, nachdem er Kenntnis von einem Sicherheitsvorfall erlangt hat.
2. Circle wird angemessene Schritte unternehmen, um einen Sicherheitsvorfall einzudämmen, zu untersuchen und abzumildern, und wird den Kunden zeitnah über den Sicherheitsvorfall informieren, einschließlich, aber nicht beschränkt auf Art des Sicherheitsvorfalls, ergriffene Maßnahmen zur Eindämmung oder Abmilderung des Sicherheitsvorfalls sowie den Stand der Untersuchung.
3. Circle wird angemessene Unterstützung bei der Untersuchung eines Sicherheitsvorfalls durch den Kunden leisten sowie bei der Erfüllung aller Verpflichtungen des Kunden in Bezug auf den Sicherheitsvorfall nach den jeweils geltenden Datenschutzgesetzen, einschließlich etwaiger Meldungen an betroffene Personen oder Aufsichtsbehörden.
4. Die Mitteilung oder Reaktion von Circle auf einen Sicherheitsvorfall nach diesem Abschnitt 11 darf nicht als Anerkennung einer Schuld oder Haftung von Circle in Bezug auf den Sicherheitsvorfall ausgelegt werden.
DAUER, LÖSCHUNG UND RÜCKGABE
1. Dieses DPA tritt am Wirksamkeitsdatum in Kraft und bleibt, ungeachtet einer Beendigung der Vereinbarung, in Kraft, bis Circle alle abgedeckten Daten gemäß den Bestimmungen dieses DPA gelöscht hat, woraufhin es automatisch endet.
2. Circle wird:
  1. auf Anforderung des Kunden innerhalb von dreißig (30) Tagen nach Ablauf der Vereinbarung (der „Aufbewahrungszeitraum“) eine Kopie aller abgedeckten Daten in dem vom Kunden gewünschten gängigen Format bereitstellen oder eine Selbstbedienungsfunktion zur Verfügung stellen, die es dem Kunden ermöglicht, diese abgedeckten Daten herunterzuladen; und
  2. mit Ablauf des Aufbewahrungszeitraums alle Kopien der abgedeckten Daten, die von Circle oder einem autorisierten Unterauftragsverarbeiter verarbeitet wurden, löschen, mit Ausnahme von Vertragsverwaltungs- und Marketingdaten sowie Nutzungs- und Feedbackdaten, die für die Zwecke des Verantwortlichen verarbeitet werden.
STANDARDVERTRAGSKLAUSELN
1. Die Standardvertragsklauseln gelten, wie weiter in Anhang 3 ausgeführt, für die Übermittlung jeglicher abgedeckter Daten vom Kunden an Circle und sind Bestandteil dieses DPA, soweit:
  1. die DSGVO oder das Schweizer Datenschutzrecht auf den Kunden bei dieser Übermittlung Anwendung findet; oder
  2. die jeweils geltenden Datenschutzgesetze, die auf den Kunden bei dieser Übermittlung Anwendung finden (die „Datenschutzgesetze des Exporteurs“), die Übermittlung abgedeckter Daten an Circle im Rahmen dieses DPA ohne einen Übermittlungsmechanismus, der angemessene Garantien für die Verarbeitung dieser abgedeckten Daten gewährleistet, untersagen, und eine oder mehrere der folgenden Bedingungen zutreffen:

die zuständige Behörde, die für die Übermittlung abgedeckter Daten durch den Kunden im Rahmen dieses DPA zuständig ist, die Standard-Datenschutzklauseln oder einen anderen Übermittlungsmechanismus nach den Datenschutzgesetzen des Exporteurs nicht formell angenommen hat; oder
eine solche Behörde hat Leitlinien herausgegeben, dass der Abschluss von von der Europäischen Kommission genehmigten Standardvertragsklauseln jede Anforderung nach den Datenschutzgesetzen des Exporteurs zur Umsetzung angemessener Garantien im Hinblick auf diese Übermittlung erfüllen würde; oder
die übliche Marktpraktik in Bezug auf Übermittlungen, die den Datenschutzgesetzen des Exporteurs unterliegen, besteht darin, Standardvertragsklauseln, die von der Europäischen Kommission genehmigt wurden, abzuschließen, um jede Anforderung nach den Datenschutzgesetzen des Exporteurs zur Umsetzung angemessener Garantien im Hinblick auf diese Übermittlung zu erfüllen; oder
die Übermittlung ein „Onward Transfer“ ist (weiterführende Übermittlung, wie im jeweils anwendbaren Modul der Standardvertragsklauseln definiert).
1. Die Parteien vereinbaren, dass der Abschluss der Vereinbarung die gleiche Wirkung hat wie die Unterzeichnung der Standardvertragsklauseln.

ENTPERSONIFIZIERTE DATEN
1. Wenn Circle entpersonifizierte Daten vom Kunden oder im Auftrag des Kunden erhält, wird Circle:
  1. angemessene Maßnahmen ergreifen, um sicherzustellen, dass die Informationen keiner betroffenen Person zugeordnet werden können;
  2. öffentlich zusichern, die entpersonifizierten Daten ausschließlich in entpersonifizierter Form zu verarbeiten und nicht zu versuchen, die Informationen wieder zu identifizieren; und
  3. alle Empfänger der entpersonifizierten Daten vertraglich verpflichten, die vorgenannten Anforderungen sowie die jeweils geltenden Datenschutzgesetze einzuhalten.
HAFTUNG
1. Wenn eine Partei gemäß diesem DPA oder der Vereinbarung als Verantwortlicher oder als Unternehmen in Bezug auf personenbezogene Daten handelt, haftet jede Partei nur für ihre eigenen Verstöße gegen die jeweils geltenden Datenschutzgesetze oder gegen dieses DPA und ist nicht gesamtschuldnerisch mit der anderen Partei für deren Verstöße verantwortlich.
2. In allen sonstigen Fällen ist die Gesamthaftung von Circle gegenüber dem Kunden oder Dritten auf die in der Vereinbarung festgelegte Haftungsobergrenze beschränkt.
3. Die Parteien vereinbaren, dass jegliche Haftungsbeschränkungen einer Partei gemäß der Vereinbarung nicht für Ansprüche, Verluste oder Schäden gelten, die im Zusammenhang mit einem Verstoß gegen die Standardvertragsklauseln entstehen.
ALLGEMEINES
1. Die Parteien bestätigen hiermit, dass sie die Anforderungen dieses DPA verstehen und diese einhalten werden.
2. Die Parteien vereinbaren, Änderungen dieses DPA in gutem Glauben auszuhandeln, soweit dies im Zusammenhang mit Änderungen der jeweils geltenden Datenschutzgesetze erforderlich ist.

Anhang 1: Details der Verarbeitung
Teil 1: Abgedeckte Daten

A. LISTE DER PARTEIEN

	Kunde	Circle
Rolle	Datenexporteur (Verantwortlicher)	Datenimporteur (Verarbeiter)
Ansprechpartner	Der Administrator	Karthik Ganesh, Chief of Staff, legal@circle.so
Aktivitäten im Zusammenhang mit der Übermittlung	Inanspruchnahme der Services gemäß der Vereinbarung	Erbringung der Services gemäß der Vereinbarung

B. BESCHREIBUNG DER VERARBEITUNG

Kategorien der betroffenen Personen	Administratoren Autorisierte Benutzer
Kategorien personenbezogener Daten	Name und E-Mail-Adresse Profil- und Kontoinformationen Benutzerinhalte, die vom Administrator oder autorisierten Benutzer hochgeladen wurden Kommentare, Fragen, Feedback und Supportanfragen
Besondere Kategorien personenbezogener Daten	Keine
Häufigkeit der Übertragung	Kontinuierlich
Art der Verarbeitung	Erfassung, Aufzeichnung, Organisation, Strukturierung, Speicherung, Löschung und Vernichtung
Zweck der Datenübertragung und der weiteren Verarbeitung	Bereitstellung der Services, und zwar: die Ermöglichung der Erstellung von Online-Communities durch den Kunden sowie das Teilen von Inhalten innerhalb dieser Communities. Bereitstellung von IT-Support
Aufbewahrungszeitraum	Die Dauer der Vereinbarung
Unterauftragsverarbeiter	Wie in Anhang 4 beschrieben

C. BESCHREIBUNG DER VERARBEITUNG

Die zuständige Aufsichtsbehörde ist: Data Protection Commissioner (Irland).

Teil 2: Vertragsverwaltung und Marketingdaten

Kategorien der betroffenen Personen	Administratoren Autorisierte Benutzer
Kategorien personenbezogener Daten	Administratoren Name und E-Mail-Adresse Marketingpräferenzen Wenn der Administrator zugleich Kunde ist: Konto- und Profilinformationen Zahlungs- und Transaktionsdaten Erworbene Produkte und Services Authentifizierungstoken für die Anmeldung in sozialen Medien Autorisierte Benutzer Informationen über das Gerät, das für den Zugriff auf die Services verwendet wird Informationen über den Zugriff des Benutzers auf die Services und deren Nutzung.
Verarbeitungszwecke	Kommunikation mit Administratoren (einschließlich Versand von Service- und Werbemitteilungen) Verwaltung der Vereinbarung mit dem Kunden (einschließlich Authentifizierung und Gewährung des Zugangs zu den Services, Verarbeitung von Erneuerungen, Abrechnung und Verarbeitung von Zahlungen, Erkennung betrügerischer Nutzung) Werbung und Vermarktung der Services.

Kategorien der betroffenen Personen

Administratoren Autorisierte Benutzer

Kategorien personenbezogener Daten

Administratoren Name und E-Mail-Adresse Marketingpräferenzen Wenn der Administrator zugleich Kunde ist: Konto- und Profilinformationen Zahlungs- und Transaktionsdaten Erworbene Produkte und Services Authentifizierungstoken für die Anmeldung in sozialen Medien Autorisierte Benutzer Informationen über das Gerät, das für den Zugriff auf die Services verwendet wird Informationen über den Zugriff des Benutzers auf die Services und deren Nutzung.

Verarbeitungszwecke

Kommunikation mit Administratoren (einschließlich Versand von Service- und Werbemitteilungen) Verwaltung der Vereinbarung mit dem Kunden (einschließlich Authentifizierung und Gewährung des Zugangs zu den Services, Verarbeitung von Erneuerungen, Abrechnung und Verarbeitung von Zahlungen, Erkennung betrügerischer Nutzung) Werbung und Vermarktung der Services.

Nutzungs- und Feedback-Daten

Kategorien der betroffenen Personen	Administratoren Autorisierte Benutzer
Kategorien personenbezogener Daten	Name und E-Mail-Adresse Informationen über das Gerät, das für den Zugriff auf die Services verwendet wird Informationen über den Zugriff des Benutzers auf die Services und deren Nutzung.
Verarbeitungszwecke	Überwachung der Leistung der Services, Identifizierung von Fehlern und Verbesserungen der Services und Information über die Produktentwicklung.

Anhang 2: Technische und organisatorische Maßnahmen

Einleitung
1. Circle wendet eine Kombination aus Richtlinien, Verfahren, Leitlinien sowie technischen und physischen Kontrollen an, um die von Circle verarbeiteten personenbezogenen Daten vor versehentlichem Verlust sowie unbefugtem Zugriff, Offenlegung oder Zerstörung zu schützen.
Governance und Richtlinien
1. Circle weist Mitarbeiter zu, die für die Festlegung, Überprüfung und Umsetzung von Sicherheitsrichtlinien und -maßnahmen verantwortlich sind.
2. Circle:
  1. hat die implementierten Sicherheitsmaßnahmen in einer Sicherheitsrichtlinie und/oder in anderen relevanten Leitlinien und Dokumenten dokumentiert;
  2. überprüft seine Sicherheitsmaßnahmen und Richtlinien regelmäßig, um sicherzustellen, dass sie weiterhin für die zu schützenden Daten angemessen sind.
3. Circle legt sichere Konfigurationen für Systeme und Software fest und befolgt diese, und stellt sicher, dass Sicherheitsmaßnahmen bei Projektbeginn und bei der Entwicklung neuer IT-Systeme berücksichtigt werden.
Reaktion auf Sicherheitsverstöße
1. Circle verfügt über einen Plan zur Reaktion auf Sicherheitsverstöße, der entwickelt wurde, um gegen Datenschutzverletzungen vorzugehen. Der Plan wird mindestens einmal jährlich getestet und aktualisiert.
Schutz vor unbefugten Zugriffen, Viren- und Malware-Angriffen
1. Die von Circle zur Verarbeitung personenbezogener Daten eingesetzten IT‑Systeme verfügen über geeignete Datensicherheitssoftware, einschließlich:
  1. Ein- und ausgehender Datenverkehr wird durch Firewalls geleitet, die durch Systeme zur Erkennung und Verhinderung von unbefugten Zugriffen überwacht und geschützt werden, mit denen der durch die Firewalls fließende Datenverkehr protokolliert werden kann.
  2. Die IT‑Systeme sind mit geeigneter Anti‑Virus-, Anti‑Spyware- und Anti‑Malware-Software ausgestattet. Diese Software wird mindestens täglich aktualisiert und führt fortlaufend Scans auf Bedrohungen und schädliche Programme durch.
  3. Circle führt mindestens einmal jährlich Penetrationstests seiner IT‑Systeme durch.
  4. Circle führt regelmäßige, mindestens monatliche Schwachstellenscans durch.
  5. Circle sammelt, pflegt, überprüft und prüft Ereignisprotokolle.
  6. Circle setzt Tools zur Verhinderung von Datenverlust auf Netzwerk- und Host‑Ebene ein.
  7. Circle überwacht sämtlichen ausgehenden Datenverkehr des Unternehmens sowie unbefugte Nutzung von Verschlüsselung.
Zugriffskontrollen
1. Circle beschränkt den Zugriff auf personenbezogene Daten durch die Implementierung geeigneter Zugriffskontrollen, einschließlich:
  1. Einschränkung administrativer Zugriffsrechte und Nutzung administrativer Konten;
  2. Ändern aller Standardpasswörter vor der Inbetriebnahme von Betriebssystemen;
  3. Erfordernis von Authentifizierung und Autorisierung für den Zugriff auf IT-Systeme (d. h. Benutzer müssen eine Benutzer-ID und ein Passwort eingeben, bevor sie Zugriff auf IT-Systeme erhalten);
  4. Gewährung des Zugriffs auf personenbezogene Daten nur für solche Daten, die der Benutzer für seine Tätigkeit oder den Zweck benötigt, für den ihm der Zugriff auf die IT-Systeme von Circle gewährt wurde (d. h. Circle stellt Maßnahmen sicher, die den Prinzipien der minimalen Rechtevergabe entsprechen – „Least Privilege Access“);
  5. Vorhandensein geeigneter Verfahren zur Steuerung der Zuweisung und der Widerrufung von Zugriffsrechten auf personenbezogene Daten. Zum Beispiel Verfahren zum Entzug von IT-Zugriffsrechten, wenn ein Mitarbeiter das Unternehmen verlässt oder die Rolle wechselt;
  6. Durchsetzung von Passwortregeln, die starke Passwörter verlangen, z. B. Passwörter mit mehr als acht Zeichen, Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen;
  7. Durchsetzung regelmäßiger Passwortänderungen;
  8. Einsatz von Multi-Faktor-Authentifizierung;
  9. Automatische Sperre und Timeout von Benutzerterminals bei Inaktivität;
  10. Sperrung des Zugriffs auf das IT-System nach mehreren fehlerhaften Eingaben der Authentifizierungs- und/oder Autorisierungsdaten;
  11. Überwachung und Protokollierung des Zugriffs auf IT-Systeme; und
  12. Überwachung und Protokollierung von Änderungen an Daten oder Dateien auf IT-Systemen.
Verfügbarkeit und Sicherung personenbezogener Daten
1. Circle verfügt über einen dokumentierten Notfallwiederherstellungsplan, der sicherstellt, dass zentrale Systeme und Daten im Falle eines physischen oder technischen Vorfalls zeitnah wiederhergestellt werden können. Der Plan wird regelmäßig getestet und mindestens einmal jährlich aktualisiert..
2. Circle sichert regelmäßig die Informationen auf IT-Systemen und hält die Back-ups an getrennten Standorten. Die Back-ups werden mindestens einmal jährlich getestet.
Segmentierung personenbezogener Daten
1. Circle:
  1. trennt und begrenzt den Zugriff zwischen Netzwerkkomponenten und setzt, soweit zutreffend, Maßnahmen um, die eine separate Verarbeitung (Speicherung, Änderung, Löschung, Übermittlung) personenbezogener Daten ermöglichen, die für unterschiedliche Zwecke erhoben und genutzt werden; und
  2. verwendet keine Live-Daten zum Testen seiner Systeme.
Entsorgung von IT-Geräten
1. Circle:
  1. verfügt über Prozesse, um alle personenbezogenen Daten sicher zu löschen, bevor IT-Systeme entsorgt werden; und
  2. setzt geeignete Technologien ein, um Geräte von Daten zu bereinigen und/oder Festplatten zu zerstören.
Verschlüsselung
1. Circle setzt Verschlüsselungstechnologien ein, um personenbezogene Daten im Ruhezustand und während der Übertragung zu schützen, einschließlich:
  1. Anwendung von AES‑256‑Verschlüsselung auf Daten im Ruhezustand und TLS 1.2 oder höher für Daten während der Übertragung; und
  2. Verschlüsselung tragbarer Geräte, die zur Verarbeitung personenbezogener Daten verwendet werden.
  3. Die Verschlüsselungsschlüssel werden getrennt von den verschlüsselten Informationen aufbewahrt und unterliegen angemessenen Sicherheitsmaßnahmen.
Übermittlung oder Transport personenbezogener Daten
1. Circle setzt geeignete Kontrollen ein, um personenbezogene Daten während der Übertragung oder des Transports zu sichern, einschließlich:
  1. Nutzung von VPNs;
  2. Verschlüsselung während der Übertragung mit TLS 1,2 oder höher;
  3. Protokollierung personenbezogener Daten bei elektronischer Übermittlung;
  4. Protokollierung personenbezogener Daten beim physischen Transport; und
  5. Gewährleistung der physischen Sicherheit personenbezogener Daten beim Transport auf tragbaren elektronischen Geräten oder in Papierform.
Härtung von Geräten
1. Circle entfernt nicht genutzte Software und Dienste von Geräten, die zur Verarbeitung personenbezogener Daten verwendet werden.
2. Circle stellt sicher, dass Standardpasswörter, die von Hardware‑ und Softwareherstellern bereitgestellt werden, nicht verwendet werden.
3. Circle stellt sicher, dass alle Betriebssysteme gemäß den Konfigurationsempfehlungen des Center for Internet Security gehärtet werden.
Verwaltung von IT‑Assets und Software
1. Circle führt ein Inventar über IT‑Assets und die darauf gespeicherten Daten sowie eine Liste der jeweiligen Eigentümer der IT‑Assets.
2. Circle:
  1. dokumentiert und implementiert Regeln für die zulässige Nutzung von IT‑Assets;
  2. verlangt Authentifizierung auf Netzwerkebene und verwendet Client‑Zertifikate, um Systeme zu validieren und zu authentifizieren;
  3. setzt Application Whitelisting ein;
  4. nutzt automatisierte Patch‑Management-Tools und Software‑Update‑Tools für Betriebssysteme und Software;
  5. überwacht proaktiv Software-Schwachstellen und implementiert zeitnah etwaige außerplanmäßige Patches; und
  6. erlaubt die Nutzung nur der neuesten Versionen vollständig unterstützter Webbrowser und E-Mail-Clients.
3. Circle speichert alle API-Schlüssel sicher, einschließlich der folgenden:
  1. Circle speichert API‑Schlüssel direkt in den Umgebungsvariablen;
  2. Circle speichert keine API-Schlüssel auf Client-Seite;
  3. Circle veröffentlicht API‑Schlüssel nicht in Online-Code-Repositories (unabhängig davon, ob diese privat oder öffentlich sind); und
  4. Circle verwendet API‑Key-Management-Tools, um Zugangsdaten für große Entwicklungsprojekte abzurufen und zu verwalten.
Mitarbeiterschulung und Sensibilisierung
1. Die Vereinbarungen von Circle mit Mitarbeitern und Auftragnehmern sowie die Mitarbeiterhandbücher legen die Verantwortlichkeiten des Personals in Bezug auf Informationssicherheit fest.
2. Circle führt durch:
  1. regelmäßige Mitarbeiterschulungen zu Datensicherheits- und Datenschutzthemen, die für die jeweilige Tätigkeit relevant sind, und stellt sicher, dass neue Mitarbeiter vor Beginn ihrer Tätigkeit angemessen geschult werden (im Rahmen der Onboarding-Verfahren); und
  2. angemessene Überprüfungen und Hintergrundprüfungen von Personen, die Zugriff auf sensible personenbezogene Daten haben.
3. Circle stellt sicher, dass Informationssicherheitsverantwortlichkeiten, die unmittelbar vor Beendigung oder Änderung des Arbeitsverhältnisses gelten, sowie solche, die nach Beendigung oder Änderung des Arbeitsverhältnisses Anwendung finden, kommuniziert und umgesetzt werden.
Auswahl von Dienstleistern und Beauftragung von Services
1. Circle prüft die Fähigkeit von Dienstleistern,die Sicherheitsanforderungen zu erfüllen, bevor sie beauftragt werden.
2. Circle verfügt über schriftliche Verträge mit Dienstleistern, die sie verpflichten, geeignete Sicherheitsmaßnahmen zum Schutz der personenbezogenen Daten umzusetzen, auf die sie Zugriff haben, und die Nutzung personenbezogener Daten gemäß den Anweisungen von Circle einzuschränken.
3. Circle führt jährliche Audits von Anbietern (einschließlich Unterauftragsverarbeitern) durch, die Zugriff auf Daten haben, entweder durch physische Inspektion durch entsprechend qualifizierte Sicherheitsprüfer oder durch Überprüfung von Sicherheitsakkreditierungen der Anbieter (z. B. ISO 27001- oder SOC II-Berichte).
4. Das Protokoll von Circle zur Reaktion auf Sicherheitsverstöße sowie die Vereinbarungen mit den Anbietern sehen Audits der Anbieter (und Unterauftragsverarbeiter) nach Erhalt einer Mitteilung über einen Sicherheitsvorfall von diesem Anbieter vor.
Unterstützung bei Anfragen von betroffenen Personen
1. Circle hat geeignete Richtlinien und Maßnahmen implementiert, um Anfragen von betroffenen Personen zu erkennen und zu bearbeiten, einschließlich:
  1. Die Daten, die im Auftrag jedes Kunden verarbeitet werden, werden getrennt von den von Circle selbst verarbeiteten Daten gespeichert;
  2. Circle führt genaue Aufzeichnungen, die eine schnelle Identifizierung aller personenbezogenen Daten ermöglichen, die im Auftrag eines Kunden verarbeitet werden; und
  3. Back-ups personenbezogener Daten, die von Circle verarbeitet werden, werden regelmäßig überschrieben, um sicherzustellen, dass Löschungs- und Berichtigungsanfragen vollständig umgesetzt werden.

Anhang 3: Standardvertragsklauseln

EU SCCS

Bezüglich der in Abschnitt 13 genannten Übermittlungen werden die Standardvertragsklauseln wie folgt ausgefüllt:
1. Modul Zwei (Verantwortlicher zu Auftragsverarbeiter) der SCCs findet Anwendung.
2. Klausel 7 der Standardvertragsklauseln (Docking‑Klausel) findet keine Anwendung.
3. Option 2 von Klausel 9(a) (Allgemeine schriftliche Genehmigung) findet Anwendung; die festzulegende Frist ist in Abschnitt 7.4 des DPA bestimmt.
4. Die Option in Klausel 11(a) der Standardvertragsklauseln (Unabhängiges Streitbeilegungsgremium) findet keine Anwendung.
5. Bezüglich Klausel 17 der Standardvertragsklauseln (Anwendbares Recht) vereinbaren die Parteien, dass Option 1 gilt und das irische Recht Anwendung findet.
6. In Klausel 18 der Standardvertragsklauseln (Gerichtsstand und Zuständigkeit) erkennen die Parteien der Zuständigkeit der Gerichte Irlands an.
7. Für die Zwecke von Anhang I der Standardvertragsklauseln enthält Teil 1 von Anhang 1 des DPA die Angaben zu den Parteien, die Beschreibung der Übermittlung und die zuständige Aufsichtsbehörde.
8. Für die Zwecke von Anhang II der Standardvertragsklauseln enthält Anhang 2 des DPA die technischen und organisatorischen Maßnahmen.
UK Addendum
1. Dieser Absatz 2 (UK Addendum) gilt für jede Übermittlung von abgedeckten Daten vom Kunden (als Datenexporteur) an Circle (als Datenimporteur), soweit:
  1. die UK Data Protection Laws auf den Kunden bei der Durchführung dieser Übermittlung Anwendung finden; oder
  2. die Übermittlung ein „Onward Transfer“ ist (weiterführende Übermittlung) im Sinne des Approved Addendum ist.
2. Im Sinne dieses Absatzes 2 gelten folgende Begriffsbestimmungen:
  
  „Approved Addendum“ bezeichnet das Muster-Addendum, Version B.1.0, herausgegeben vom UK Information Commissioner gemäß S119A(1) Data Protection Act 2018 und am 2. Februar 2022 dem UK-Parlament vorgelegt, in der jeweils gemäß Abschnitt 18 des Approved Addendum geänderten Fassung.
  
  „UK Data Protection Laws“ bezeichnet alle Gesetze im Vereinigten Königreich, die sich auf Datenschutz, Verarbeitung personenbezogener Daten, Privatsphäre und/oder elektronische Kommunikation beziehen, die jeweils in Kraft sind, einschließlich des UK GDPR und des Data Protection Act 2018.
3. Das Approved Addendum wird Teil dieses Anhangs zur Datenverarbeitung (DPA) für alle in Absatz 2.1 genannten Übermittlungen, und die Unterzeichnung dieses DPA hat dieselbe Wirkung wie die Unterzeichnung des Approved Addendum.
4. Das Approved Addendum gilt als wie folgt ausgefüllt:
  1. Das „Addendum EU SCCs“ bezieht sich auf die SCCs, wie sie gemäß Abschnitt 13 und diesem Anhang 3 in diese Vereinbarung aufgenommen sind;
  2. Tabelle 1 des Approved Addendum wird mit den Angaben in Abschnitt A von Teil 1 des Anhang 1 ausgefüllt;
  3. Die „Appendix Information“ bezieht sich auf die Angaben in Teil 1 des Anhang 1 und Anhang 2;
  4. Für die Zwecke von Tabelle 4 des Approved Addendum kann der Kunde (als Datenexporteur) dieses DPA, soweit das Approved Addendum Anwendung findet, gemäß Abschnitt 19 des Approved Addendum beenden; und
  5. Abschnitt 16 des Approved Addendum findet keine Anwendung.
Schweizer Addendum
1. Dieses Schweizer Addendum gilt für jede Verarbeitung von abgedeckten Daten, die den Schweizer Datenschutzgesetzen oder sowohl den Schweizer Datenschutzgesetzen als auch der EU DSGVO unterliegt.
2. Auslegung dieses Addendum
  1. Begriffe, die in diesem Addendum gemäß den Standardvertragsklauseln (SCCs) definiert sind, haben dieselbe Bedeutung wie in den SCCs. Zusätzlich gelten folgende Definitionen:
    - „Addendum“ bezeichnet dieses Addendum zu den Clauses;
    - „Clauses“ bezeichnet die Standardvertragsklauseln, wie sie gemäß Abschnitt 13 in dieses DPA aufgenommen und in Anhang 3 weiter spezifiziert sind;
    - „FDPIC“ bezeichnet den Federal Data Protection and Information Commissioner.
  2. Dieses Addendum ist so auszulegen, dass es mit den Schweizer Datenschutzgesetzen konsistent ist und die Verpflichtung der Parteien erfüllt, die geeigneten Schutzmaßnahmen gemäß Artikel 46 GDPR bzw. Artikel 6(2)(a) der Schweizer Datenschutzgesetze bereitzustellen.
  3. Dieses Addendum darf nicht in einer Weise ausgelegt werden, die den Rechten und Pflichten nach den Schweizer Datenschutzgesetzen widerspricht.
  4. Alle Verweise auf Gesetze (oder einzelne Bestimmungen von Gesetzen) beziehen sich auf das jeweilige Gesetz (oder die jeweilige Bestimmung) in der jeweils geltenden Fassung. Dies schließt Fälle ein, in denen das Gesetz (oder die einzelne Bestimmung) nach Unterzeichnung dieses Swiss Addendum konsolidiert, neu erlassen oder ersetzt wurde.
  5. In Bezug auf jede Verarbeitung personenbezogener Daten, die den Schweizer Datenschutzgesetzen oder sowohl den Schweizer Datenschutzgesetzen als auch der DSGVO unterliegt, ergänzt und ändert dieses Addendum die Clauses in dem Umfang, dass sie gelten für:
    - Übermittlungen vom Datenexporteur zum Datenimporteur, soweit die Schweizer Datenschutzgesetze auf die Verarbeitung des Datenexporteurs bei dieser Übermittlung Anwendung finden;
    - Bereitstellung geeigneter Schutzmaßnahmen für die Übermittlungen gemäß Artikel 6(2)(a) der Schweizer Datenschutzgesetze, soweit anwendbar.
3. Hierarchie
  
  Bei Konflikten oder Inkonsistenzen zwischen diesem Addendum und den Clauses oder anderen zwischen den Parteien bestehenden Vereinbarungen, gelten die Bestimmungen, die den größtmöglichen Schutz für die betroffenen Personen bieten.
4. Änderungen der Clauses für Übermittlungen, die ausschließlich den Schweizer Datenschutzgesetzen unterliegen
  
  Wenn die Verarbeitung personenbezogener Daten durch den Datenexporteur ausschließlich den Schweizer Datenschutzgesetzen unterliegt oder die Übermittlung ein „Onward Transfer“ gemäß den Clauses darstellt (wie in Absatz 3.3(a) geändert), gelten folgende Änderungen:
  1. Verweise auf „Clauses“ oder „SCCs“ beziehen sich auf dieses Swiss Addendum, wie es die SCCs ändert.
  2. Clause 6 (Beschreibung der Übermittlung(en)) wird ersetzt durch:
  3. „Die Einzelheiten der Übermittlung(en), insbesondere die Kategorien der übermittelten personenbezogenen Daten und die Zwecke der Übermittlung, sind in Teil 1 von Anhang 1 dieses DPA festgelegt, soweit die Schweizer Datenschutzgesetze auf die Verarbeitung des Datenexporteurs bei dieser Übermittlung Anwendung finden.“
  4. Verweise auf Verordnung (EU) 2016/679, „diese Verordnung“ oder die DSGVO werden durch die Schweizer Datenschutzgesetze ersetzt; Verweise auf spezifische Artikel werden durch die entsprechenden Artikel/Abschnitte der Schweizer Datenschutzgesetze ersetzt.
  5. Verweise auf die Verordnung (EU) 2018/1725 werden entfernt.
  6. Verweise auf „Europäische Union“, „Union“, „EU“ und „EU Mitgliedstaat“ werden durch „Schweiz“ ersetzt.
  7. Clause 13(a) und Teil C von Anhang I werden nicht verwendet; die zuständige Aufsichtsbehörde ist die FDPIC.
  8. Clause 17 wird wie folgt ersetzt
    
    „Diese Clauses unterliegen dem Recht der Schweiz.“
  9. Clause 18 wird wie folgt ersetzt:
    
    „Alle Streitigkeiten aus diesen Clauses im Zusammenhang mit den Schweizer Datenschutzgesetzen werden von den Gerichten der Schweiz entschieden. Betroffene Personen können auch vor den Gerichten der Schweiz klagen, in deren gewöhnlichem Aufenthaltsort sie wohnen. Die Parteien unterwerfen sich der Zuständigkeit dieser Gerichte.“
5. Ergänzende Bestimmungen für die Übermittlung personenbezogener Daten, die sowohl der DSGVO als auch den Schweizer Datenschutzgesetzen unterliegen
  1. Soweit die Verarbeitung personenbezogener Daten durch den Datenexporteur sowohl den Schweizer Datenschutzgesetzen als auch der DSGVO unterliegt oder die Übermittlung personenbezogener Daten von einem Datenexporteur an einen Datenimporteur gemäß den Clauses ein „Onward Transfer“ sowohl gemäß den Clauses als auch gemäß den Clauses in der durch Absatz 3.3(c) dieses Addendum geänderten Fassung darstellt:
    - Für die Zwecke von Clause 13(a) und Teil C von Anhang I: Die FDPIC fungiert als zuständige Aufsichtsbehörde für alle Übermittlungen personenbezogener Daten, soweit die Schweizer Datenschutzgesetze auf die Verarbeitung des Datenexporteurs bei dieser Übermittlung Anwendung finden oder eine solche Übermittlung ein „Onward Transfer“ im Sinne der Clauses darstellt (wie in Absatz 3.3 dieses Addendum geändert);
    - Vorbehaltlich der Bestimmungen von Absatz 2 dieses Anhangs 3 (UK Addendum) fungiert die in Anhang 1 bezeichnete Aufsichtsbehörde als zuständige Aufsichtsbehörde für alle Übermittlungen personenbezogener Daten, soweit die DSGVO auf die Verarbeitung des Datenexporteurs Anwendung findet oder eine solche Übermittlung ein „Onward Transfer“ im Sinne der Clauses darstellt.
  2. Die Begriffe „Europäische Union“, „Union“, „EU“ und „Mitgliedstaat der EU“ dürfen nicht so ausgelegt werden, dass dadurch betroffene Personen in der Schweiz daran gehindert werden, Ansprüche an ihrem gewöhnlichen Aufenthaltsort gemäß Clause 18(c) der Clauses geltend zu machen.
Übermittlungen nach Recht anderer Gerichtsbarkeiten
1. Für alle Übermittlungen personenbezogener Daten, die in Abschnitt 13.1(b) erwähnt werden (jeweils ein „Global Transfer“), dürfen die SCCs nicht so ausgelegt werden, dass sie den Rechten und Pflichten nach den Exporter Datenschutzgesetzen widersprechen.
2. Für die Zwecke von Global Transfers gelten die SCCs als in dem erforderlichen Umfang geändert, damit sie wirksam sind:
  1. für Übermittlungen vom jeweils zuständigen Datenexporteur zum Datenimporteur, soweit die Exporter Datenschutzgesetze auf die Verarbeitung des Datenexporteurs bei dieser Übermittlung Anwendung finden; und
  2. zur Bereitstellung geeigneter Schutzmaßnahmen für die Übermittlungen gemäß den Exporter Datenschutzgesetzen.
3. Die in Absatz 4.2 genannten Änderungen beinhalten (ohne Einschränkung) Folgendes:
  1. Verweise auf die „DSGVO“ und auf bestimmte Artikel der DSGVO werden durch die entsprechenden Bestimmungen der Exporter Datenschutzgesetze ersetzt;
  2. Verweise auf „Union“, „EU“ und „EU Mitgliedstaat“ werden durch die jeweilige Gerichtsbarkeit ersetzt, in der die Exporter Datenschutzgesetze erlassen wurden (die „Exporter Jurisdiction“);
  3. Die zuständige Aufsichtsbehörde ist die jeweils zuständige Aufsichtsbehörde in der Exporter Jurisdiction;
  4. Clauses 17 und 18 der SCCs beziehen sich auf das Recht bzw. die Gerichte der Exporter Jurisdiction.
4. Wenn während der Verarbeitung der abgedeckten Daten durch Circle unter diesem DPA ein Übertragungsmechanismus außerhalb der SCCs nach den Exporter Datenschutzgesetzen für Übermittlungen vom Kunden an Circle genehmigt wird, schließen die Parteien unverzüglich eine ergänzende Vereinbarung ab, die:
  1. alle standardisierten Datenschutzklauseln oder einen anderen von der zuständigen Behörde der Exporter Jurisdiction offiziell genehmigten Übertragungsmechanismus enthält;
  2. die Details der Verarbeitung gemäß Teil 1 von Anhang 1 integriert;
  3. für Übermittlungen personenbezogener Daten, die den Exporter Datenschutzgesetzen unterliegen, im Falle eines Konflikts Vorrang vor diesem DPA hat.
5. Soweit nach den Exporter Datenschutzgesetzen erforderlich, übermittelt der zuständige Datenexporteur eine Kopie der gemäß Absatz 4.4 geschlossenen Vereinbarung an die zuständige nationale Behörde.

Anhang 4: Unterauftragsverarbeiter

Unterauftragsverarbeiter	Zweck	Beschreibung	Standort	Übertragungsmechanismus
Amazon Web Services, Inc. (AWS)	Cloud-Hosting	Stellt Rechenleistung, Speicher und Infrastruktur bereit, die zum Hosten der Circle-Anwendung und zum sicheren Speichern von Kundendaten verwendet werden.	USA	Standardvertragsklauseln (SCCs)
Braintrust, Inc	KI-Bewertung	Bewertet und überwacht die Leistung von KI-Funktionen anhand von Beispieleingaben und -ausgaben.	USA	Standardvertragsklauseln (SCCs)
Buildkite Pty Ltd	CI/CD-Pipelines	Führt CI/CD-Pipelines zum Erstellen, Testen und Bereitstellen der Circle-Anwendung aus.	USA	Standardvertragsklauseln (SCCs)
Clay Labs, Inc	Datenanreicherung und GTM-Workflows	Reichert Kontakt- und Kontodaten an und unterstützt Go-to-Market‑Abläufe.	USA	Standardvertragsklauseln (SCCs)
Cloudflare, Inc	Beobachtbarkeit, Überwachung und Sicherheit	Bietet CDN, Leistungsoptimierung und Sicherheitsschutz (einschließlich DDoS-Abwehr und Traffic-Routing).	USA	Standardvertragsklauseln (SCCs)
dbt Labs, Inc. (dbt Cloud)	Datenaufbereitung und Analytics-Engineering	Führt Datenaufbereitungs‑Jobs auf den Analytics-Daten von Circle aus.	USA	Standardvertragsklauseln (SCCs)
Fathom Analytics, Inc. (Fathom)	Gesprächsprotokolle	Nimmt Meetings auf und erstellt Gesprächsprotokolle, Zusammenfassungen und Aufgabenlisten.	USA	Standardvertragsklauseln (SCCs)
Forethought Technologies, Inc	KI-Support Automatisierung	Bietet KI-basierte Support-Tools, die Support-Tickets und Hilfeinhalte verarbeiten.	USA	Standardvertragsklauseln (SCCs)
Google Cloud (Google LLC)	Cloud-Hosting	Stellt sichere Hosting-Dienste bereit, die einen Teil der Circle-Infrastruktur unterstützen.	USA	Standardvertragsklauseln (SCCs)
HubSpot, Inc	CRM und Marketing	Verarbeitet Admin- und Kontaktinformationen von Kunden für Onboarding, Kommunikation über den Lebenszyklus und Marketingaktivitäten.	USA	Standardvertragsklauseln (SCCs)
Last9, Inc	Beobachtbarkeit und Überwachung	Bietet Beobachtbarkeit für die Infrastruktur und Anwendungen von Circle (Logs, Metriken, Traces).	USA	Standardvertragsklauseln (SCCs)
LiveKit, Inc	Audio- und Videoinfrastruktur	Bietet Live-Video-Unterstützung (WebRTC, HLS) für Sitzungen, Events und interaktive Videofunktionen.	USA	Standardvertragsklauseln (SCCs)
Mailgun Technologies, Inc.	E-Mail-Zustellungsdienst	Sendet Marketing-E-Mails im Namen von Circle-Kunden an Circle-Mitglieder über E-Mail Hub (z. B. Benachrichtigungen, Verifizierungs-E-Mails).	USA	Standardvertragsklauseln (SCCs)
New Relic, Inc	Beobachtbarkeit und Überwachung	Bietet Anwendungs- und Infrastrukturüberwachung (APM, Protokolle, Metriken).	USA	Standardvertragsklauseln (SCCs)
OpenAI, LLC	LLMS und andere KI-Funktionen	Verarbeitet Prompts und vom Benutzer übermittelte Inhalte, wenn KI-fähige Funktionen in Circle aktiviert sind.	USA	Standardvertragsklauseln (SCCs)
RevenueCat, Inc	Finanzen und Zahlungen	Verarbeitet Rechnungsdaten für Kunden und Mitglieder, Abonnementereignisse, zugehörige Umsatzanalysen und Token für Zahlungsmethoden.	USA	Standardvertragsklauseln (SCCs)
SendGrid (Twilio SendGrid, Inc.)	E-Mail-Zustellungsdienst	Versendet Transaktions- und Systemmails an Circle-Kunden und Mitglieder (z. B. Benachrichtigungen, Bestätigungs-E-Mails).	USA	Standardvertragsklauseln (SCCs)
Stripe, Inc	Finanzen und Zahlungen	Verarbeitet Abrechnungsdaten, Abonnementzahlungen und Zahlungsarten-Token von Kunden und Mitgliedern.	USA	Standardvertragsklauseln (SCCs)
Zapier, Inc	Workflows	Verarbeitet Workflow-ausgelöste Daten zur Automatisierung interner Vorgänge und Integrationen (KI-Orchestrierung).	USA	Standardvertragsklauseln (SCCs)
Zendesk, Inc	Kundensupport	Verarbeitet Kundenkontaktinformationen und Support-Tickets, um Fehlerbehebung und Support bereitzustellen.	USA	Standardvertragsklauseln (SCCs)
100 MS	Audio- und Videoinfrastruktur	Bietet Live-Video-Unterstützung (WebRTC, HLS) für Sitzungen, Events und interaktive Videofunktionen.	USA	Standardvertragsklauseln (SCCs)

Anhang zur Datenverarbeitung

Website

Circle Plus

Community

Wachsen & Verdienen

KI & Automatisierung

Mehr erfahren

Hilfe erhalten