GES EU DATENSCHUTZBESTIMMUNGEN UND -BEDINGUNGEN

Diese GES EU-Datenschutzbedingungen bestehen aus den folgenden Vertragsklauseln ("die Klauseln"), um angemessene Garantien in Bezug auf den Schutz der Privatsphäre und der Grundrechte und -freiheiten natürlicher Personen für die Übermittlung der im geltenden GES EU-Datenschutz-Zusatz (der "Zusatz") genannten personenbezogenen Daten durch den Datenexporteur an den Datenimporteur zu gewährleisten, der zwischen GES und der Gegenpartei des Zusatzes (GES und diese Gegenpartei zusammen die "Parteien") abgeschlossen wurde:

Klausel 1

Definitionen

Für die Zwecke der Klauseln:

Die Begriffe "personenbezogene Daten", "besondere Kategorien von Daten", "Verarbeitung", "für die Verarbeitung Verantwortlicher", "Auftragsverarbeiter", "betroffene Person" und "Kontrollstelle" haben dieselbe Bedeutung wie in der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (im Folgenden "die Richtlinie");
der "Datenexporteur" ist der für die Verarbeitung Verantwortliche, der die personenbezogenen Daten übermittelt;
Der "Datenimporteur"ist der für die Verarbeitung Verantwortliche, der sich damit einverstanden erklärt, vom Datenexporteur personenbezogene Daten zur Weiterverarbeitung gemäß den Bestimmungen dieser Klauseln zu erhalten, und der nicht dem System eines Drittlandes unterliegt, das einen angemessenen Schutz gewährleistet.

Klausel 2

Einzelheiten der Überweisung

Die Einzelheiten der Übermittlung, insbesondere die Kategorien personenbezogener Daten und die Zwecke, für die sie übermittelt werden, sind im Nachtrag aufgeführt, der Bestandteil der Klauseln ist und durch Verweis in diese aufgenommen wird.

Klausel 3

Drittbegünstigungsklausel

Die betroffenen Personen können diese Klausel, Klausel 4 Buchstaben b), c) und d) durchsetzen. Klausel 5 Buchstaben a), b), c) und e), Klausel 6 Absätze 1 und 2 sowie die Klauseln 7, 9 und 11 als Drittbegünstigte. Die Parteien haben keine Einwände dagegen, dass die betroffenen Personen durch einen Verband oder andere Einrichtungen vertreten werden, wenn sie dies wünschen und das nationale Recht dies zulässt.

Klausel 4

Pflichten des Datenexporteurs

Der Datenexporteur erklärt sich damit einverstanden und gewährleistet dies:

dass die Verarbeitung der personenbezogenen Daten durch ihn, einschließlich der Übermittlung selbst, im Einklang mit den einschlägigen Bestimmungen des Mitgliedstaats, in dem der Datenexporteur niedergelassen ist, erfolgt ist und bis zum Zeitpunkt der Übermittlung weiterhin erfolgen wird (und gegebenenfalls den zuständigen Behörden dieses Staates gemeldet wurde) und nicht gegen die einschlägigen Bestimmungen dieses Staates verstößt;
dass, wenn die Übermittlung besondere Datenkategorien betrifft, die betroffene Person vor der Übermittlung darüber informiert worden ist oder informiert werden wird, dass diese Daten in ein Drittland übermittelt werden könnten, das keinen angemessenen Schutz bietet;
den betroffenen Personen auf Anfrage eine Kopie der Klauseln zur Verfügung zu stellen; und
innerhalb einer angemessenen Frist und im Rahmen des Möglichen auf Anfragen der Aufsichtsbehörde zur Verarbeitung der betreffenden personenbezogenen Daten durch den Datenimporteur und auf Anfragen der betroffenen Person zur Verarbeitung dieser personenbezogenen Daten durch den Datenimporteur zu antworten.

Klausel 5

Pflichten des Datenimporteurs

Der Datenimporteur erklärt sich damit einverstanden und gewährleistet dies:

dass er keinen Grund zu der Annahme hat, dass die für ihn geltenden Rechtsvorschriften ihn daran hindern, seinen vertraglichen Verpflichtungen nachzukommen, und dass er im Falle einer Änderung dieser Rechtsvorschriften, die sich erheblich nachteilig auf die durch die Klauseln gebotenen Garantien auswirken könnte, diese Änderung dem Datenexporteur und der Aufsichtsbehörde des Landes, in dem der Datenexporteur ansässig ist, mitteilen wird; in diesem Fall ist der Datenexporteur berechtigt, die Datenübermittlung auszusetzen und/oder den Vertrag zu kündigen;
die personenbezogenen Daten in Übereinstimmung mit den in Anlage 2 aufgeführten verbindlichen Datenschutzgrundsätzen zu verarbeiten;

oder, wenn die Parteien durch Ankreuzen unten ausdrücklich zugestimmt haben und vorbehaltlich der Einhaltung der in Anlage 3 dargelegten verbindlichen Datenschutzgrundsätze, die Daten in jeder anderen Hinsicht gemäß zu verarbeiten:

die einschlägigen (diesen Klauseln beigefügten) einzelstaatlichen Rechtsvorschriften zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere ihres Rechts auf Schutz der Privatsphäre bei der Verarbeitung personenbezogener Daten, die für einen für die Datenverarbeitung Verantwortlichen in dem Land gelten, in dem der Datenexporteur niedergelassen ist, oder
die einschlägigen Bestimmungen einer Entscheidung der Kommission gemäß Artikel 25 Absatz 6 der Richtlinie 95/46/EG, in der festgestellt wird, dass ein Drittland in bestimmten Tätigkeitsbereichen einen angemessenen Schutz bietet, nur dann, wenn der Datenimporteur in diesem Drittland ansässig ist und nicht unter diese Bestimmungen fällt, sofern diese Bestimmungen so beschaffen sind, dass sie in dem Bereich der Übermittlung anwendbar sind;

alle angemessenen Anfragen des Datenexporteurs oder der betroffenen Person in Bezug auf die Verarbeitung der personenbezogenen Daten, die Gegenstand der Übermittlung sind, unverzüglich und ordnungsgemäß zu bearbeiten und bei allen Untersuchungen mit der zuständigen Kontrollstelle zusammenzuarbeiten und den Rat der Kontrollstelle in Bezug auf die Verarbeitung der übermittelten Daten zu befolgen;
auf Ersuchen des Datenexporteurs seine Datenverarbeitungsanlagen einem Audit zu unterziehen, das vom Datenexporteur oder einer Kontrollstelle durchgeführt wird, die sich aus unabhängigen Mitgliedern zusammensetzt, die über die erforderlichen beruflichen Qualifikationen verfügen und vom Datenexporteur gegebenenfalls im Einvernehmen mit der Kontrollstelle ausgewählt werden;
der betroffenen Person auf Anfrage eine Kopie der Klauseln zur Verfügung zu stellen und die Stelle anzugeben, die Beschwerden bearbeitet.

Klausel 6

Haftung

Die Parteien sind sich darüber einig, dass eine betroffene Person, die infolge eines Verstoßes gegen die in Ziffer 3 genannten Bestimmungen einen Schaden erlitten hat, berechtigt ist, von den Parteien Ersatz für den erlittenen Schaden zu verlangen. Die Parteien vereinbaren, dass sie von dieser Haftung nur dann befreit werden können, wenn sie nachweisen, dass keine von ihnen für die Verletzung dieser Bestimmungen verantwortlich ist.
Der Datenexporteur und der Datenimporteur erklären sich damit einverstanden, dass sie gesamtschuldnerisch für den Schaden haften, der der betroffenen Person durch einen Verstoß gemäß Absatz 1 entsteht. Im Falle eines solchen Verstoßes haftet der Datenexporteur oder der Datenimporteur oder beide.

Klausel 7

Mediation und Gerichtsbarkeit

Die Parteien vereinbaren für den Fall, dass eine Streitigkeit zwischen einer betroffenen Person und einer der Parteien nicht gütlich beigelegt werden kann und die betroffene Person sich auf die Drittbegünstigungsklausel in Abschnitt 3 beruft, dass sie die Entscheidung der betroffenen Person akzeptieren:

1. den Streitfall zur Schlichtung an eine unabhängige Person oder gegebenenfalls an die Aufsichtsbehörde zu verweisen;
2. den Streitfall an die Gerichte des Mitgliedstaats zu verweisen, in dem der Datenexporteur niedergelassen ist.

Die Parteien vereinbaren, dass eine Streitigkeit im Einvernehmen zwischen einer betroffenen Person und der betreffenden Partei an eine Schiedsstelle verwiesen werden kann, wenn diese Partei in einem Land ansässig ist, das das New Yorker Übereinkommen über die Vollstreckung von Schiedssprüchen ratifiziert hat.
Die Parteien vereinbaren, dass die Absätze 1 und 2 unbeschadet der materiell- und verfahrensrechtlichen Rechte der betroffenen Person gelten, Rechtsbehelfe nach anderen Bestimmungen des nationalen oder internationalen Rechts einzulegen.

Klausel 8

Zusammenarbeit mit den Aufsichtsbehörden

Die Parteien verpflichten sich, eine Kopie dieses Vertrags bei der Aufsichtsbehörde zu hinterlegen, wenn diese darum ersucht oder wenn eine solche Hinterlegung nach nationalem Recht erforderlich ist.

Klausel 9

Beendigung der Klauseln

Die Parteien sind sich darüber einig, dass die Beendigung der Klauseln zu jeder Zeit, unter allen Umständen und aus welchem Grund auch immer, sie nicht von den Verpflichtungen und/oder Bedingungen der Klauseln in Bezug auf die Verarbeitung der übermittelten Daten befreit.

Klausel 10

Versehentlich ausgelassen

Klausel 11

Änderung des Vertrages

Die Parteien verpflichten sich, die Bestimmungen der Klauseln nicht zu ändern oder zu modifizieren.

Anhang 1

Absichtlich ausgelassen.

Anhang 2

zu den Standardvertragsklauseln

Obligatorische Datenschutzgrundsätze gemäß Klausel 5 Buchstabe b) erster Absatz

Diese Datenschutzgrundsätze sind im Lichte der Bestimmungen (Grundsätze und einschlägige Ausnahmen) der Richtlinie 95/46/EG zu lesen und auszulegen.

Sie gelten vorbehaltlich der zwingenden Anforderungen der für den Datenimporteur geltenden nationalen Rechtsvorschriften, die nicht über das hinausgehen, was in einer demokratischen Gesellschaft aufgrund eines der in Artikel 13 Absatz 1 der Richtlinie 95/46/EG aufgeführten Interessen erforderlich ist, d. h. wenn sie eine notwendige Maßnahme zum Schutz der nationalen Sicherheit, der Landesverteidigung, der öffentlichen Sicherheit, zur Verhütung, Ermittlung, Feststellung und Verfolgung von Straftaten oder Verstößen gegen die Standesregeln der reglementierten Berufe, eines wichtigen wirtschaftlichen oder finanziellen Interesses des Staates oder zum Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen darstellen.

Zweckbindung:Die Daten dürfen nur für die in Anlage I der Klauseln genannten Zwecke verarbeitet und anschließend verwendet oder weitergegeben werden. Die Daten dürfen nicht länger aufbewahrt werden, als es für die Zwecke, für die sie übermittelt werden, erforderlich ist.
Dara Qualität und Verhältnismäßigkeit:Die Daten müssen sachlich richtig sein und, soweit erforderlich, auf dem neuesten Stand gehalten werden. Die Daten müssen den Zwecken entsprechen, für die sie übermittelt und weiterverarbeitet werden, dafür erheblich sein und dürfen nicht darüber hinausgehen.
Transparenz:Die betroffenen Personen müssen Informationen über die Zwecke der Verarbeitung und die Identität des für die Verarbeitung Verantwortlichen im Drittland sowie weitere Informationen erhalten, sofern dies für eine faire Verarbeitung erforderlich ist, es sei denn, diese Informationen wurden bereits vom Datenexporteur erteilt.
Sicherheit und Vertraulichkeit:Der für die Verarbeitung Verantwortliche muss technische und organisatorische Sicherheitsmaßnahmen ergreifen, die den mit der Verarbeitung verbundenen Risiken, wie z. B. dem unbefugten Zugriff, angemessen sind. Jede Person, die unter der Aufsicht des für die Verarbeitung Verantwortlichen handelt, einschließlich eines Auftragsverarbeiters, darf die Daten nur auf Anweisung des für die Verarbeitung Verantwortlichen verarbeiten.
Recht auf Auskunft, Berichtigung, Löschung und Sperrung von Daten:Wie in Artikel 12 der Richtlinie 95/46/EG vorgesehen, muss die betroffene Person ein Recht auf Auskunft über alle sie betreffenden Daten, die verarbeitet werden, und gegebenenfalls ein Recht auf Berichtigung, Löschung oder Sperrung von Daten haben, deren Verarbeitung nicht den in diesem Anhang dargelegten Grundsätzen entspricht, insbesondere weil die Daten unvollständig oder unzutreffend sind. Er sollte auch die Möglichkeit haben, aus zwingenden, schutzwürdigen Gründen, die sich aus seiner besonderen Situation ergeben, Widerspruch gegen die Verarbeitung der ihn betreffenden Daten einzulegen.
Beschränkung der Weiterübermittlung:Weitere Übermittlungen personenbezogener Daten vom Datenimporteur an einen anderen für die Verarbeitung Verantwortlichen, der in einem Drittland ansässig ist, das keinen angemessenen Schutz bietet oder nicht unter eine von der Kommission gemäß Artikel 25 Absatz 6 der Richtlinie 95/46/EG erlassene Entscheidung fällt (Weiterübermittlung), dürfen nur erfolgen, wenn entweder

die betroffenen Personen im Falle besonderer Datenkategorien ihre unmissverständliche Zustimmung zur Weitergabe gegeben haben oder in anderen Fällen die Möglichkeit hatten, der Weitergabe zu widersprechen.

Die Mindestinformationen, die den betroffenen Personen zur Verfügung gestellt werden müssen, müssen in einer für sie verständlichen Sprache abgefasst sein:

für die Zwecke der Weiterübermittlung,
die Identifizierung des in der Gemeinschaft ansässigen Datenexporteurs,
die Kategorien der weiteren Empfänger der Daten und die Bestimmungsländer und
eine Erklärung, dass die Daten nach der Weiterübermittlung von einem für die Verarbeitung Verantwortlichen verarbeitet werden können, der in einem Land ansässig ist, in dem kein angemessenes Schutzniveau für die Privatsphäre natürlicher Personen besteht, oder

(b) der Datenexporteur und der Datenimporteur der Einhaltung der Klauseln durch einen anderen für die Verarbeitung Verantwortlichen zustimmen, der dadurch Vertragspartei der Klauseln wird und dieselben Pflichten wie der Datenimporteur übernimmt.

Besondere Datenkategorien:Werden Daten verarbeitet, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Mitgliedschaft in einer Gewerkschaft hervorgehen, sowie Daten über Gesundheit oder Sexualleben und Daten, die Straftaten, strafrechtliche Verurteilungen oder Sicherungsmaßregeln betreffen, sollten zusätzliche Garantien im Sinne der Richtlinie 95/46/EG vorgesehen werden, insbesondere geeignete Sicherheitsmaßnahmen wie eine starke Verschlüsselung bei der Übermittlung oder die Protokollierung des Zugangs zu sensiblen Daten.
Direktmarketing:Werden Daten zu Zwecken des Direktmarketings verarbeitet, sollten wirksame Verfahren bestehen, die es der betroffenen Person ermöglichen, der Verwendung ihrer Daten für solche Zwecke jederzeit zu widersprechen.
Automatisierte Einzelentscheidungen:Die betroffenen Personen haben das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Datenverarbeitung beruht, es sei denn, es werden andere Maßnahmen zur Wahrung der berechtigten Interessen der betroffenen Person gemäß Artikel 15 Absatz 2 der Richtlinie 95/46/EG getroffen. Besteht der Zweck der Übermittlung in einer automatisierten Entscheidung im Sinne von Artikel 15 der Richtlinie 95/46/EG, die für die betreffende Person rechtliche Folgen nach sich zieht oder sie erheblich beeinträchtigt und die ausschließlich auf einer automatisierten Verarbeitung von Daten beruht, die dazu bestimmt ist, bestimmte persönliche Aspekte der betreffenden Person zu bewerten, z. B. ihre berufliche Leistungsfähigkeit, ihre Kreditwürdigkeit, ihre Zuverlässigkeit, ihr Verhalten usw., so sollte die Person das Recht haben, die Gründe für diese Entscheidung zu erfahren.

Anhang 3