Vereinbarung zur Auftragsverarbeitung von Ultralytics (DPA)

Diese Vereinbarung zur Auftragsverarbeitung ("DPA") wird in (i) die Nutzungsbedingungen von Ultralytics und/oder (ii) jedes anwendbare Bestellformular, jede Vereinbarung mit einem Unternehmen oder jede sonstige schriftliche Vereinbarung, in der auf diese DPA verwiesen wird, aufgenommen und ist Bestandteil davon (jeweils die "Vereinbarung") zwischen dem Kunden ("Kunde", "du") und Ultralytics, Inc. ("Ultralytics", "Unternehmen", "wir").

Diese DPA gibt die Vereinbarung der Parteien zu folgenden Punkten wieder:

• (A) Bedingungen für Verantwortlicher-an-Auftragsverarbeiter: die Verarbeitung der personenbezogenen Daten des Kunden durch Ultralytics als Auftragsverarbeiter (oder Unterauftragsverarbeiter, wenn der Kunde Auftragsverarbeiter ist) im Auftrag des Kunden im Zusammenhang mit den Diensten; und
• (B) Bedingungen für Verantwortlicher-an-Verantwortlicher: die Verarbeitung personenbezogener Daten des Verantwortlichen durch jede Partei als unabhängiger Verantwortlicher, ausschließlich in dem in Abschnitt 10 beschriebenen Umfang.

Diese DPA bleibt während der Laufzeit der Vereinbarung und so lange in Kraft, wie Ultralytics personenbezogene Daten des Kunden im Auftrag des Kunden verarbeitet.

Diese DPA gilt ausschließlich für die Verarbeitung personenbezogener Daten des Kunden durch Ultralytics innerhalb der Ultralytics-Plattform. Zur Klarstellung: Diese DPA gilt nicht für die Nutzung, Bereitstellung oder den Betrieb der quelloffenen Ultralytics-YOLO-Modelle durch den Kunden außerhalb der Ultralytics-Plattform; dies erfolgt ausschließlich auf Verantwortung des Kunden.

Ultralytics kann diese DPA von Zeit zu Zeit aktualisieren, um Änderungen der Gesetze, aufsichtsbehördlicher Leitlinien oder der Dienste zu berücksichtigen. Die Aktualisierungen werden mit dem Datum ihrer Veröffentlichung wirksam, sofern sie den Datenschutz für personenbezogene Daten des Kunden nicht ohne dessen Zustimmung wesentlich verringern (außer soweit dies nach geltendem Recht erforderlich ist).

1. Definitionen#

"Verbundenes Unternehmen" bezeichnet jede juristische Person, die eine Partei unmittelbar oder mittelbar kontrolliert, von ihr kontrolliert wird oder mit ihr unter gemeinsamer Kontrolle steht, wobei "Kontrolle" das Eigentum an mehr als 50 % der Stimmrechte bedeutet.

"Geeignete Garantien" bezeichnet rechtlich durchsetzbare Mechanismen für Übermittlungen personenbezogener Daten, die nach den anwendbaren Datenschutzgesetzen zulässig sein können, insbesondere, aber nicht ausschließlich, nach Artikel 46 DSGVO.

"Unterauftragsverarbeiter" bezeichnet jeden Auftragsverarbeiter, den Ultralytics oder seine Verbundenen Unternehmen beauftragen, um personenbezogene Daten des Kunden im Auftrag von Ultralytics im Zusammenhang mit den Diensten zu verarbeiten.

"Kontodaten des Unternehmens" bezeichnet personenbezogene Daten, die sich auf die Beziehung des Unternehmens zum Kunden beziehen, einschließlich der Namen oder Kontaktdaten von Personen, die vom Kunden zum Zugriff auf das Kundenkonto autorisiert wurden, sowie der Abrechnungsinformationen von Personen, die der Kunde seinem Konto zugeordnet hat. Zu den Kontodaten des Unternehmens gehören außerdem alle Daten, die das Unternehmen möglicherweise zum Verwalten seiner Beziehung zum Kunden, zur Identitätsprüfung oder anderweitig aufgrund geltender Gesetze und Vorschriften erheben muss.

"Nutzungsdaten des Unternehmens" bezeichnet von dem Unternehmen im Zusammenhang mit der Bereitstellung der Dienste erhobene und verarbeitete Nutzungsdaten, einschließlich, ohne darauf beschränkt zu sein, Daten zur Ermittlung von Quelle und Ziel einer Kommunikation, Aktivitätsprotokollen sowie Daten zur Optimierung und Aufrechterhaltung der Leistung der Dienste und zur Untersuchung und Verhinderung von Missbrauch des Systems.

"Kundendaten" bezeichnet alle Daten, Inhalte, Materialien, Dateien oder Informationen (einschließlich Datensätzen, Bildern, Videos, Annotationen, Kennzeichnungen, Metadaten, Modelleingaben und -ausgaben sowie sonstiger Inhalte), die der Kunde oder seine autorisierten Nutzer im Zusammenhang mit den Diensten zur Verarbeitung hochladen, übermitteln, übertragen oder anderweitig bereitstellen, einschließlich aller Daten, die durch die Nutzung der Dienste durch den Kunden für diesen erzeugt werden.

"Verletzung des Schutzes personenbezogener Kundendaten" bezeichnet eine Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten des Kunden führt, die von Ultralytics oder seinen Unterauftragsverarbeitern im Zusammenhang mit den Diensten verarbeitet werden. Eine Verletzung des Schutzes personenbezogener Kundendaten umfasst keine erfolglosen Versuche oder Aktivitäten, durch die personenbezogene Daten des Kunden nicht gefährdet werden (z. B. erfolglose Anmeldeversuche, Port-Scans, Denial-of-Service-Angriffe oder sonstige Angriffe auf Firewalls oder vernetzte Systeme).

"Datenschutzgesetze" bezeichnet alle anwendbaren Gesetze zum Datenschutz und zum Schutz der Privatsphäre, die für die Verarbeitung personenbezogener Daten durch eine Partei nach der Vereinbarung gelten, einschließlich (soweit anwendbar) der DSGVO, der UK GDPR, des Schweizer DSG, ePrivacy/PECR, CCPA/CPRA und anderer anwendbarer US-amerikanischer Datenschutzgesetze auf Ebene der Bundesstaaten.

"DSGVO" bezeichnet die Verordnung (EU) 2016/679; "UK GDPR" bezeichnet die in das Recht des Vereinigten Königreichs übernommene DSGVO; "Schweizer DSG" bezeichnet das Schweizer Datenschutzgesetz (in der jeweils geänderten Fassung). "Weisungen" bezeichnet die dokumentierten Weisungen des Kunden an Ultralytics zur Verarbeitung personenbezogener Daten des Kunden gemäß der Beschreibung in Abschnitt 2.2.

"SCCs" bezeichnet die EU-Standardvertragsklauseln (Beschluss 2021/914); "UK Addendum" bezeichnet das internationale Datenübermittlungs-Addendum der ICO. Andere großgeschriebene Begriffe haben die in den Datenschutzgesetzen und/oder der Vereinbarung festgelegte Bedeutung.

"Dienste" bezeichnet die Dienste und Funktionen, die Ultralytics dem Kunden gemäß der Vereinbarung bereitstellt, einschließlich der Ultralytics-Plattform sowie aller damit verbundenen Support-, Verwaltungs- und Dokumentationsleistungen, wie in der Vereinbarung näher beschrieben.

"Ultralytics-Plattform" bezeichnet die cloudbasierte Software-as-a-Service-Umgebung von Ultralytics, über die Kunden Datensätze hochladen, verwalten, annotieren und versionieren, Bildverarbeitungsmodelle trainieren, bewerten, vergleichen, exportieren und bereitstellen, Projekte und Nutzer verwalten sowie zugehörige Funktionen und Support nutzen können und über die Ultralytics personenbezogene Daten des Kunden gemäß dieser DPA im Auftrag des Kunden verarbeitet.

"Quelloffene Ultralytics-YOLO-Modelle" bezeichnet die quelloffenen Bildverarbeitungsmodelle und den zugehörigen Quellcode, die Ultralytics unter den jeweils geltenden Open-Source-Lizenzen bereitstellt und die Kunden unabhängig in ihren eigenen Umgebungen herunterladen, bereitstellen, hosten und betreiben können. Zur Klarstellung: Wenn Kunden quelloffene Ultralytics-YOLO-Modelle außerhalb der Ultralytics-Plattform bereitstellen oder nutzen, verarbeitet Ultralytics im Rahmen dieser DPA keine personenbezogenen Daten im Auftrag des Kunden.

2. Verantwortlichkeiten des Kunden#

2.1 Einhaltung von Gesetzen. Der Kunde ist für die Einhaltung der Datenschutzgesetze im Zusammenhang mit seiner Verarbeitung personenbezogener Daten und seiner Nutzung der Dienste verantwortlich, einschließlich der Bereitstellung vorgeschriebener Hinweise und der Einholung erforderlicher Einwilligungen und Genehmigungen.

2.2 Weisungen. Die Vereinbarung (einschließlich dieser DPA) bildet zusammen mit der Konfiguration und Nutzung der Dienste durch den Kunden gemäß der Vereinbarung die vollständigen Weisungen des Kunden an Ultralytics zur Verarbeitung personenbezogener Daten des Kunden. Der Kunde kann während der Laufzeit zusätzliche Weisungen erteilen, sofern diese mit der Vereinbarung und den Diensten vereinbar sind. Ist Ultralytics nach vernünftiger Einschätzung der Auffassung, dass zusätzliche Weisungen wesentliche Änderungen oder einen erheblichen Mehraufwand erfordern, werden die Parteien dies nach Treu und Glauben besprechen.

2.3 Verbotene Daten. Sofern die Parteien dies nicht ausdrücklich schriftlich vereinbart haben (einschließlich einer Vereinbarung über zusätzliche, nach den geltenden Datenschutzgesetzen erforderliche Garantien), darf der Kunde Ultralytics keine besonderen Kategorien personenbezogener Daten gemäß Artikel 9 DSGVO (oder gleichwertige Daten) sowie keine Daten zu strafrechtlichen Verurteilungen oder Straftaten gemäß Artikel 10 DSGVO bereitstellen, übermitteln oder anderweitig zugänglich machen.

Beispielhaft und ohne Anspruch auf Vollständigkeit umfassen verbotene Daten:

• von Behörden ausgestellte Identifikationsnummern (z. B. Passnummern, nationale Identifikationsnummern oder Sozialversicherungsnummern);
• Gesundheits- oder medizinische Informationen, einschließlich biometrischer Identifikatoren, die zur eindeutigen Identifizierung einer natürlichen Person verwendet werden;
• Informationen über die rassische oder ethnische Herkunft, politischen Ansichten, religiösen oder philosophischen Überzeugungen oder Gewerkschaftszugehörigkeit einer Person;
• genetische Daten oder biometrische Daten, die zur eindeutigen Identifizierung einer natürlichen Person verarbeitet werden;
• personenbezogene Daten von Kindern, sofern deren Verarbeitung durch die geltenden Datenschutzgesetze eingeschränkt ist;
• sowie Daten zu strafrechtlichen Verurteilungen, mutmaßlichem kriminellem Verhalten oder Tätigkeiten von Strafverfolgungsbehörden.

Darüber hinaus sind die Dienste nicht für die Verarbeitung anderer Daten vorgesehen, die nach den geltenden Datenschutzgesetzen einen erhöhten Schutz erfordern, etwa Zahlungskartendaten, Bankkontonummern oder präzise Geolokalisierungsdaten. Der Kunde ist allein dafür verantwortlich sicherzustellen, dass Datensätze, Bilder, Videos, Annotationen, Kennzeichnungen, Metadaten oder sonstige Inhalte, die in die Dienste hochgeladen oder über sie verarbeitet werden, keine verbotenen Daten enthalten. Jede Verarbeitung verbotener Daten unter Verstoß gegen diesen Abschnitt stellt einen wesentlichen Verstoß gegen diese DPA dar.

2.4 Ungeeignete Daten; Freistellung. Der Kunde ist allein für die Rechtmäßigkeit der an Ultralytics übermittelten personenbezogenen Daten des Kunden und dafür verantwortlich, dass diese für die Dienste geeignet sind. Der Kunde wird Ultralytics gegen alle Ansprüche Dritter verteidigen und freistellen, die aus der vertrags- oder DPA-widrigen oder gegen geltende Datenschutzgesetze verstoßenden Bereitstellung personenbezogener Daten durch den Kunden für die Dienste entstehen.

3. Pflichten von Ultralytics als Auftragsverarbeiter#

3.1 Zweckbindung. Ultralytics wird personenbezogene Daten des Kunden nur (a) zur Erbringung der Dienste gemäß der Vereinbarung und Anlage A, (b) gemäß den Weisungen des Kunden und (c) soweit gesetzlich erforderlich verarbeiten. Ultralytics wird personenbezogene Daten des Kunden oder Kundendaten nicht zum Trainieren, Verbessern oder Entwickeln allgemeiner oder kommerziell verfügbarer Modelle von Ultralytics verwenden, außer wenn der Kunde dies ausdrücklich schriftlich oder über die Dienste anweist.

3.2 Gesetzeskollisionen. Wenn Ultralytics feststellt, dass es personenbezogene Daten des Kunden aufgrund einer gesetzlichen Verpflichtung nicht gemäß den Weisungen verarbeiten kann, wird Ultralytics den Kunden (soweit gesetzlich zulässig) benachrichtigen und die betroffene Verarbeitung erforderlichenfalls aussetzen (ausgenommen die sichere Speicherung), bis der Kunde gesetzeskonforme Weisungen erteilt.

3.3 Vertraulichkeit des Personals. Ultralytics wird sicherstellen, dass Personen, die zur Verarbeitung personenbezogener Daten des Kunden berechtigt sind, zur Vertraulichkeit verpflichtet sind. Der Kunde stimmt zu, dass Ultralytics personenbezogene Daten des Kunden an seine professionellen Berater und Prüfer weitergeben darf, soweit dies im Zusammenhang mit der Erfüllung der Vereinbarung/DPA angemessen erforderlich ist, vorbehaltlich entsprechender Vertraulichkeitsverpflichtungen.

3.4 Unterauftragsverarbeitung. Ultralytics darf gemäß Abschnitt 5 Unterauftragsverarbeiter beauftragen und bleibt für deren Erfüllung gleichwertiger Pflichten verantwortlich.

3.5 Löschung / Rückgabe. Nach Beendigung der Dienste wird Ultralytics personenbezogene Daten des Kunden gemäß der Vereinbarung und Anlage A löschen oder zurückgeben, sofern ihre Aufbewahrung nicht gesetzlich vorgeschrieben ist. Eine Löschungsbestätigung gemäß den SCCs wird dem Kunden auf Anfrage bereitgestellt.

4. Rechte betroffener Personen (oder Verbraucher)#

4.1 Anfrage einer betroffenen Person (oder eines Verbrauchers). Ultralytics wird den Kunden, soweit gesetzlich zulässig, unverzüglich an den im Konto hinterlegten primären Kontakt benachrichtigen, wenn Ultralytics eine Anfrage einer betroffenen Person (oder eines Verbrauchers) zur Ausübung des Auskunftsrechts (oder Offenlegungsrechts), des Rechts auf Berichtigung, Einschränkung der Verarbeitung, Löschung (oder Tilgung oder des "Rechts auf Vergessenwerden"), Datenübertragbarkeit, Widerspruchs gegen die Verarbeitung oder des Rechts, nicht einer automatisierten individuellen Entscheidungsfindung unterworfen zu werden, erhält ("Anfrage einer betroffenen Person (oder eines Verbrauchers)").

4.2 Unterstützung. Unter Berücksichtigung der Art der Verarbeitung wird Ultralytics den Kunden angemessen dabei unterstützen, auf Anfragen zur Ausübung der Rechte betroffener Personen nach den Datenschutzgesetzen zu antworten, soweit der Kunde die Anfrage nicht mit den verfügbaren Funktionen der Dienste erfüllen kann.

4.3 Datenschutz-Folgenabschätzung; vorherige Konsultation. Unter Berücksichtigung der Art der Verarbeitung und der Ultralytics vorliegenden Informationen wird Ultralytics den Kunden angemessen unterstützen bei (i) Datenschutz-Folgenabschätzungen und (ii) der Konsultation und/oder Zusammenarbeit des Kunden mit Aufsichtsbehörden, jeweils soweit dies nach den Datenschutzgesetzen erforderlich ist und der Kunde ansonsten keinen Zugang zu den relevanten Informationen hat. Außer wenn dies nach den Datenschutzgesetzen oder im Zusammenhang mit einer Verletzung des Schutzes personenbezogener Kundendaten erforderlich ist, darf der Kunde diese Unterstützung höchstens einmal innerhalb eines Zeitraums von zwölf (12) Monaten anfordern. Der Kunde erstattet Ultralytics die angemessenen Kosten und Aufwendungen für diese Unterstützung, soweit gesetzlich zulässig.

5. Unterauftragsverarbeiter#

5.1 Allgemeine Genehmigung. Der Kunde erteilt Ultralytics eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten des Kunden für die Dienste zu beauftragen.

5.2 Liste und Benachrichtigung. Eine Liste der aktuellen Unterauftragsverarbeiter ist unter Liste der Unterauftragsverarbeiter von Ultralytics (die "Liste") verfügbar. Ultralytics wird eine Möglichkeit bereitstellen, Benachrichtigungen über Aktualisierungen der Liste zu abonnieren, und mindestens zehn (10) Tage vor ihrer Autorisierung zur Verarbeitung personenbezogener Daten des Kunden über neue Unterauftragsverarbeiter informieren. Der Kunde ist dafür verantwortlich, verfügbare Benachrichtigungen zu abonnieren; abonniert der Kunde sie nicht, erkennt er an, dass er über diesen Mechanismus möglicherweise keine vorherige Benachrichtigung erhält. In jedem Fall gilt die Aktualisierung der Liste als Benachrichtigung über Änderungen bei den Unterauftragsverarbeitern. Der Kunde erkennt an, dass bestimmte Unterauftragsverarbeiter für die Erbringung der Dienste wesentlich sind und dass ein Widerspruch gegen die Nutzung eines Unterauftragsverarbeiters dazu führen kann, dass das Unternehmen dem Kunden die Dienste nicht anbieten kann.

Zur Klarstellung: An der Erbringung der Dienste beteiligte Verbundene Unternehmen von Ultralytics, einschließlich Ultralytics Ltd (UK) und Ultralytics AI Spain, S.L., können als konzerninterne Unterauftragsverarbeiter tätig werden, wenn sie personenbezogene Daten des Kunden im Auftrag von Ultralytics Inc. im Zusammenhang mit den Diensten verarbeiten.

5.3 Widerspruch gegen neue Unterauftragsverarbeiter. Der Kunde kann der Beauftragung eines neuen Unterauftragsverarbeiters aus angemessenen datenschutzrechtlichen Gründen gemäß Abschnitt 5.2 schriftlich widersprechen. Kann Ultralytics den Widerspruch des Kunden nicht angemessen ausräumen, kann der Kunde den betroffenen Dienst durch schriftliche Mitteilung einstellen, ohne dass dadurch bereits vor dieser Einstellung angefallene Gebühren entfallen.

5.4 Weitergabe von Pflichten. Ultralytics wird Unterauftragsverarbeiter erst beauftragen, nachdem eine angemessene, risikobasierte Prüfung durchgeführt wurde, um festzustellen, ob der Unterauftragsverarbeiter in der Lage ist, gemäß den geltenden Datenschutzgesetzen ein angemessenes Schutzniveau für personenbezogene Daten des Kunden bereitzustellen. Ultralytics wird Unterauftragsverarbeiter im Rahmen seines Programms zur Lieferantenverwaltung regelmäßig überwachen. Ultralytics wird sicherstellen, dass seine Unterauftragsverarbeiter Datenschutzpflichten unterliegen, die den in dieser DPA festgelegten Pflichten im Wesentlichen gleichwertig sind oder einen höheren Schutz bieten. Auf Anfrage des Kunden wird Ultralytics Kopien relevanter Datenschutzbestimmungen für Unterauftragsverarbeiter bereitstellen, die gemäß den SCCs erforderlich sind; diese dürfen aus Gründen der Vertraulichkeit geschwärzt sein.

6. Sicherheit#

6.1 Maßnahmen. Unter Berücksichtigung des Stands der Technik, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie des Risikos unterschiedlicher Eintrittswahrscheinlichkeiten und Schweregrade für die Rechte und Freiheiten natürlicher Personen wird Ultralytics geeignete technische und organisatorische Maßnahmen umsetzen und aufrechterhalten, um gemäß den geltenden Datenschutzgesetzen, einschließlich Artikel 32 DSGVO, ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. Diese Maßnahmen sind in Anlage C beschrieben. Ultralytics kann sie von Zeit zu Zeit aktualisieren, sofern eine solche Aktualisierung das Gesamtschutzniveau für personenbezogene Daten des Kunden nicht wesentlich verringert.

6.2 Verantwortlichkeiten des Kunden. Ungeachtet des Vorstehenden erkennt der Kunde an, dass er, außer soweit in dieser DPA ausdrücklich vorgesehen, für die sichere Nutzung der Dienste verantwortlich ist, einschließlich des Schutzes seiner Zugangsdaten, der angemessenen Konfiguration von Zugriffskontrollen und der Sicherstellung, dass seine Nutzer die Dienste im Einklang mit den geltenden Datenschutzgesetzen und den von Ultralytics bereitgestellten Sicherheitsfunktionen aufrufen und nutzen.

7. Prüfungen des Kunden und Nachweis der Einhaltung#

7.1 Dokumentation. Auf angemessene Anfrage wird Ultralytics Informationen bereitstellen, die zum angemessenen Nachweis der Einhaltung dieser DPA erforderlich sind (einschließlich aktueller Prüfberichte oder Zertifizierungen Dritter, sofern verfügbar). Ultralytics wird ausreichende Aufzeichnungen zum Nachweis der Einhaltung dieser DPA führen und diese für einen angemessenen Zeitraum nach der Beendigung aufbewahren (z. B. drei (3) Jahre), sofern gesetzlich kein längerer Zeitraum vorgeschrieben ist.

7.2 Prüfung. Soweit dies nach den Datenschutzgesetzen erforderlich und die Dokumentation unzureichend ist, kann der Kunde nach angemessener vorheriger schriftlicher Mitteilung und auf eigene Kosten eine Prüfung oder Inspektion der relevanten Systeme und Prozesse von Ultralytics verlangen. Eine solche Prüfung oder Inspektion darf erst nach einer schriftlichen Vereinbarung der Parteien über Umfang, Zeitpunkt und Dauer der Prüfung sowie über einen angemessenen Erstattungssatz für den im Zusammenhang mit der Prüfung aufgewendeten Zeit- und Ressourcenaufwand von Ultralytics durchgeführt werden. Jede nach diesem Abschnitt durchgeführte Prüfung muss:

• (a) höchstens einmal innerhalb eines Zeitraums von zwölf (12) Monaten stattfinden;
• (b) während der üblichen Geschäftszeiten von Ultralytics stattfinden;
• (c) angemessenen Vertraulichkeits-, Sicherheits- und Schutzmaßnahmen unterliegen; und
• (d) auf Systeme und Aufzeichnungen beschränkt sein, die für die Verarbeitung personenbezogener Daten des Kunden angemessen relevant sind.

Der Kunde wird Ultralytics unverzüglich über jede während einer Prüfung festgestellte wesentliche Nichteinhaltung informieren, damit Ultralytics angemessene Gelegenheit erhält, diese Feststellungen zu beheben.

8. Verletzungen des Schutzes personenbezogener Daten#

8.1 Benachrichtigung. Ultralytics wird den Kunden unverzüglich, spätestens jedoch 72 Stunden nach Kenntniserlangung von einer Verletzung des Schutzes personenbezogener Kundendaten, benachrichtigen.

8.2 Unterstützung. Ultralytics wird den Kunden unter Berücksichtigung der Ultralytics vorliegenden Informationen angemessen bei den erforderlichen Benachrichtigungen an Aufsichtsbehörden und betroffene Personen unterstützen.

8.3 Kein Schuldeingeständnis. Eine Benachrichtigung über eine Verletzung stellt kein Eingeständnis von Verschulden oder Haftung dar. Die Pflicht zur Benachrichtigung über eine Verletzung gilt nicht, soweit eine Verletzung des Schutzes personenbezogener Kundendaten durch Handlungen oder Unterlassungen des Kunden oder seiner Nutzer verursacht wurde.

9. Übermittlungen (EU/Vereinigtes Königreich/Schweiz)#

9.1 Internationale Übermittlungen. Der Kunde erkennt an, dass die primären Verarbeitungsvorgänge von Ultralytics in den Vereinigten Staaten und an anderen zur Erbringung der Dienste erforderlichen Orten stattfinden können.

Zur Klarstellung: Personenbezogene Daten des Kunden können auch zwischen Ultralytics Inc. und seinen Verbundenen Unternehmen (einschließlich Ultralytics Ltd (UK) und Ultralytics AI Spain, S.L.) übermittelt werden, wenn diese Verbundenen Unternehmen im Zusammenhang mit den Diensten als Unterauftragsverarbeiter tätig sind. Soweit diese Übermittlungen nach den geltenden Datenschutzgesetzen als internationale Übermittlungen gelten, unterliegen sie Geeigneten Garantien, einschließlich der SCCs (gegebenenfalls Modul 3) oder anderer gültiger Übermittlungsmechanismen.

Wenn die Übermittlung personenbezogener Daten des Kunden in ein Land erforderlich ist, das nicht als Land mit angemessenem Datenschutzniveau anerkannt wurde, unterliegt diese Übermittlung Geeigneten Garantien gemäß den geltenden Datenschutzgesetzen, einschließlich gegebenenfalls der SCCs und des UK Addendum, wie sie in diese DPA aufgenommen wurden.

9.2 EU-SCCs. Für Übermittlungen personenbezogener Daten des Kunden, die der DSGVO unterliegen, in ein Drittland ohne angemessenes Schutzniveau nehmen die Parteien die EU-SCCs auf. Modul Zwei (Verantwortlicher→Auftragsverarbeiter) gilt, wenn der Kunde Verantwortlicher ist; Modul Drei (Auftragsverarbeiter→Unterauftragsverarbeiter) gilt, wenn der Kunde Auftragsverarbeiter ist. Die Anhänge der SCCs werden unter Verwendung von Anlage B (Anhang I/III) und Anlage C (Anhang II) ausgefüllt.

9.3 UK Addendum. Für Übermittlungen, die der UK GDPR unterliegen, nehmen die Parteien das UK Addendum auf, das durch Verweis auf Anlage B/C und die Auswahl des anwendbaren Übermittlungsmechanismus ausgefüllt wird.

9.4 Schweiz. Für Übermittlungen in die Schweiz gelten die EU-SCCs mit den üblichen schweizerischen Anpassungen (Verweise auf die DSGVO umfassen das Schweizer DSG; der EDÖB ist die zuständige Behörde usw.), ausgefüllt durch Verweis auf die Anlagen.

9.5 Zugriffsanfragen von Behörden. Ultralytics wird rechtsverbindliche Anfragen zu personenbezogenen Daten des Kunden im Einklang mit dem geltenden Recht und den SCCs bearbeiten, einschließlich, soweit gesetzlich zulässig, der Benachrichtigung des Kunden und angemessener Zusammenarbeit.

10. Bedingungen für Verantwortlicher-an-Verantwortlicher (Ultralytics-Konto / Nutzung / Sicherheitsbetrieb)#

10.1 Umfang. Dieser Abschnitt gilt für die Verarbeitung personenbezogener Daten des Verantwortlichen durch jede Partei als unabhängiger Verantwortlicher (nicht als gemeinsam Verantwortliche), einschließlich der Verarbeitung von Kontodaten des Unternehmens und Nutzungsdaten des Unternehmens durch Ultralytics.

10.2 Pflichten unabhängiger Verantwortlicher. Jede Partei wird:

• (a) personenbezogene Daten des Verantwortlichen im Einklang mit den Datenschutzgesetzen verarbeiten;
• (b) geeignete Sicherheitsmaßnahmen umsetzen; und
• (c) auf aufsichtsbehördliche Mitteilungen zu ihrer eigenen Verarbeitung reagieren.

10.3 Verarbeitung durch Ultralytics als Verantwortlicher. Ultralytics verarbeitet Kontodaten des Unternehmens und Nutzungsdaten des Unternehmens als Verantwortlicher für die Kontoverwaltung, Abrechnung, Sicherheitsüberwachung und Verhinderung von Missbrauch, Identitätsprüfung, Einhaltung gesetzlicher Vorschriften, Prüfungen/Buchhaltung sowie den Betrieb der Dienste (einschließlich Leistung und Zuverlässigkeit). Diese Verarbeitung wird in der Datenschutzrichtlinie von Ultralytics beschrieben. Nichts in dieser DPA ist so auszulegen, dass dadurch ein Verhältnis gemeinsamer Verantwortlichkeit zwischen den Parteien entsteht.

Zur Klarstellung: Ultralytics und seine Verbundenen Unternehmen dürfen im Rahmen von Aktivitäten zur geschäftlichen Kontaktaufnahme, Vorführungen, Partnerschaften und Kundenbeziehungsverwaltung begrenzte geschäftliche Kontaktdaten (z. B. Namen, geschäftliche E-Mail-Adressen und berufliche Kontaktdaten) als unabhängige Verantwortliche verarbeiten.

11. Bestimmungen für Kalifornien (CCPA/CPRA)#

11.1 Dienstleister / Auftragsverarbeiter. Soweit CCPA/CPRA anwendbar ist und Ultralytics personenbezogene Daten des Kunden im Auftrag des Kunden verarbeitet, handelt Ultralytics als "Dienstleister" und/oder "Auftragsverarbeiter" und wird diese personenbezogenen Daten weder "verkaufen" noch "weitergeben".

11.2 Beschränkte Nutzung. Ultralytics wird personenbezogene Daten des Kunden außerhalb des unmittelbaren Geschäftszwecks der Erbringung der Dienste weder aufbewahren noch nutzen oder offenlegen, außer soweit dies nach CCPA/CPRA zulässig ist.

11.3 Diskriminierung. Die Parteien dürfen einen Verbraucher nicht benachteiligen, weil dieser seine Rechte ausgeübt hat.

12. Allgemeine Bestimmungen#

12.1 Haftungsbeschränkung. Die Beschränkungen und Ausschlüsse der Vereinbarung gelten für diese DPA, außer soweit dies gesetzlich oder durch die SCCs/das UK Addendum untersagt ist.

12.2 Salvatorische Klausel. Sollte eine Bestimmung dieser DPA unwirksam oder nicht durchsetzbar sein, bleiben die übrigen Bestimmungen dieser DPA gültig und in Kraft. Die unwirksame oder nicht durchsetzbare Bestimmung wird entweder (i) so weit wie erforderlich geändert, dass ihre Wirksamkeit und Durchsetzbarkeit sichergestellt sind, wobei die Absichten der Parteien so weit wie möglich gewahrt werden, oder, falls dies nicht möglich ist, (ii) so ausgelegt, als wäre der unwirksame oder nicht durchsetzbare Teil nie darin enthalten gewesen.

12.3 Abschluss dieser DPA. Diese DPA wird in die Vereinbarung aufgenommen und ist Bestandteil davon. Der Kunde schließt diese DPA (einschließlich gegebenenfalls der EU-SCCs und des UK Addendum) ab durch:

• (a) Annahme der Vereinbarung oder Zustimmung, an diese gebunden zu sein (einschließlich durch Anklicken von "Ich stimme zu" oder eines ähnlichen Mechanismus zu den Nutzungsbedingungen),
• (b) Unterzeichnung eines Bestellformulars, einer Leistungsbeschreibung oder einer anderen schriftlichen Vereinbarung, die die Vereinbarung aufnimmt oder auf sie verweist, oder
• (c) Nutzung oder weitere Nutzung der Dienste, nachdem diese DPA vom Unternehmen bereitgestellt wurde.

Der Kunde versichert und gewährleistet, dass die Person, die die Vereinbarung annimmt und/oder die Dienste im Namen des Kunden nutzt, befugt ist, den Kunden und gegebenenfalls seine Verbundenen Unternehmen zu binden.

12.4 Kontakt. Datenschutzanfragen: privacy@ultralytics.com; Datenschutzbeauftragter: dpo@ultralytics.com; rechtliche Mitteilungen: legal@ultralytics.com.

13. Parteien; Verbundene Unternehmen#

Der Kunde schließt diese DPA in seinem eigenen Namen und im Namen seiner Verbundenen Unternehmen ab, die gemäß der Vereinbarung autorisierte Nutzer der Dienste sowie Verantwortliche oder Auftragsverarbeiter personenbezogener Daten des Kunden sind ("Zugelassene Verbundene Unternehmen"). Der Kunde versichert, dass er befugt ist, die Zugelassenen Verbundenen Unternehmen zu binden.

Anlage A: Einzelheiten zur Verarbeitung personenbezogener Daten#

Art: Ultralytics stellt cloudbasierte Software und zugehörige Dienste bereit, die es Kunden ermöglichen, auf Produkte und Funktionen von Ultralytics zuzugreifen und diese zu nutzen, einschließlich Modelltraining, Inferenz, Datensatzverwaltung, Bereitstellungsabläufen sowie zugehörigem Support und Verwaltung ("Dienste"), wie in der Vereinbarung beschrieben.

Zur Klarstellung: Zu den Diensten gehört die Ultralytics-Plattform, über die Ultralytics personenbezogene Daten des Kunden gemäß dieser DPA im Auftrag des Kunden verarbeitet. Unabhängig davon stellt Ultralytics auch quelloffene Ultralytics-YOLO-Modelle bereit, die Kunden unabhängig in ihren eigenen Umgebungen bereitstellen und betreiben können. Wenn Kunden Ultralytics-YOLO-Modelle außerhalb der Ultralytics-Plattform bereitstellen oder nutzen, verarbeitet Ultralytics keine personenbezogenen Daten im Auftrag des Kunden. Die Kunden sind allein dafür verantwortlich, geeignete technische und organisatorische Maßnahmen umzusetzen, Zwecke und Mittel der Verarbeitung festzulegen und im Zusammenhang mit einer solchen Bereitstellung und Nutzung die Einhaltung der geltenden Datenschutzgesetze sicherzustellen.

Zweck: Ultralytics verarbeitet personenbezogene Daten des Kunden im Auftrag des Kunden für die folgenden Zwecke:

• Bereitstellung, Betrieb, Absicherung und Unterstützung der Dienste gemäß dem Vertrag und den dokumentierten Anweisungen des Kunden;
• Befolgung sonstiger dokumentierter angemessener Anweisungen des Kunden, sofern diese Anweisungen mit dem Vertrag und diesem DPA vereinbar sind;
• Beantwortung von Anfragen, die vom Kunden oder seinen autorisierten Nutzern im Rahmen der Nutzung der Dienste gestellt werden (einschließlich Supportanfragen);
• Überwachung, Verhinderung und Erkennung von Sicherheitsvorfällen, Betrug, Missbrauch und missbräuchlicher Nutzung der Dienste; und
• Einhaltung geltender gesetzlicher Verpflichtungen.

Ultralytics wird personenbezogene Daten des Kunden nicht zum Trainieren oder Verbessern der allgemeinen Modelle von Ultralytics verwenden, außer wenn dies vom Kunden ausdrücklich schriftlich oder über die Dienste angewiesen wurde. Zur Klarstellung: Ultralytics darf Unternehmensnutzungsdaten sowie zusammengefasste oder de-identifizierte Daten (soweit zulässig) verwenden, um die Dienste zu betreiben, abzusichern und zu verbessern.

Wenn der Kunde Datensätze, Modelle oder andere Inhalte über Community- oder öffentliche Funktionen der Dienste teilt, stellt dieses Teilen eine dokumentierte Anweisung des Kunden dar. Der Kunde bleibt allein dafür verantwortlich sicherzustellen, dass er über alle erforderlichen Rechte und Rechtsgrundlagen verfügt, um solche Daten anderen Nutzern zur Verfügung zu stellen.

Dauer der Verarbeitung: Ultralytics verarbeitet personenbezogene Daten des Kunden für die Dauer des Vertrags und so lange, wie dies zur Bereitstellung der Dienste gemäß den Anweisungen des Kunden erforderlich ist. Nach Beendigung oder Ablauf des Vertrags wird Ultralytics personenbezogene Daten des Kunden gemäß dem Vertrag und diesem DPA löschen oder zurückgeben, sofern eine weitere Aufbewahrung nicht durch geltendes Recht vorgeschrieben ist. Zur Klarstellung: Soweit Ultralytics personenbezogene Daten des Verantwortlichen (einschließlich Unternehmenskontodaten und Unternehmensnutzungsdaten) gemäß Abschnitt 10 als unabhängiger Verantwortlicher verarbeitet, erfolgt diese Verarbeitung für die in der Datenschutzrichtlinie von Ultralytics festgelegten Zeiträume.

Kategorien betroffener Personen: Personenbezogene Daten des Kunden können sich auf die folgenden Kategorien betroffener Personen beziehen, wie vom Kunden bestimmt und kontrolliert:

• Mitarbeiter, Auftragnehmer, Beauftragte und Vertreter des Kunden;
• autorisierte Nutzer und Administratoren des Kunden;
• sowie Endnutzer, Kunden oder andere Personen des Kunden, deren personenbezogene Daten der Kunde den Diensten zur Verfügung stellt.

Kategorien personenbezogener Daten: Personenbezogene Daten des Kunden können die folgenden Kategorien personenbezogener Daten umfassen, soweit sie vom Kunden oder in seinem Auftrag an die Dienste übermittelt oder anderweitig über die Dienste verfügbar gemacht werden:

• Konto- und Identitätsdaten von Nutzern, etwa Name, E-Mail-Adresse, Benutzername/Benutzer-ID, Name der Organisation sowie Rolle/Berechtigungen des Nutzers (z. B. Administrator/Nutzer).
• Nutzungs- und Geräte-/technische Daten, etwa IP-Adresse, Gerätekennungen und Systemmerkmale (z. B. Gerätetyp, Betriebssystem, Browsertyp), Protokolldateien, Zeitstempel, Authentifizierungsereignisse, Zugriffshistorie sowie gegebenenfalls installierte Anwendungen oder Konfigurationsdetails, die im Rahmen von Abläufen zur Verwaltung von Unternehmensgeräten oder zur Sicherheit erfasst werden.
• Vom Kunden bereitgestellte Inhalte und Eingaben, etwa von Nutzern erstellte Prompts, Kommentare, Annotationen, Metadaten oder Bezeichnungen von Datensätzen sowie alle anderen Inhalte, die der Kunde über die Dienste hochlädt oder übermittelt (einschließlich Bild-, Video-, Audio- oder anderer Dateien), jedoch nur soweit diese Inhalte personenbezogene Daten enthalten.
• Support- und Kommunikationsdaten, etwa Supportkommunikation mit Kunden, Problemmeldungen, Informationen zur Fehlerbehebung und administrative Kontaktdaten.

Die Kategorien der verarbeiteten personenbezogenen Daten können außerdem die in der Datenschutzrichtlinie von Ultralytics beschriebenen Kategorien umfassen.

Sensible Daten oder besondere Kategorien personenbezogener Daten: Die Dienste sind nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten (gemäß der Definition in Artikel 9 GDPR oder einer entsprechenden Definition nach den geltenden Datenschutzgesetzen) oder personenbezogener Daten im Zusammenhang mit strafrechtlichen Verurteilungen und Straftaten (Artikel 10 GDPR) konzipiert oder bestimmt. Dem Kunden ist es untersagt, solche Daten bereitzustellen, sofern dies nicht ausdrücklich schriftlich mit Ultralytics vereinbart wurde und zusätzlichen Schutzmaßnahmen unterliegt.

Anlage B: Informationen nach Anhang I und Anhang III (EU-SCCs und UK Addendum)#

Die folgenden Angaben enthalten die nach Anhang I und Anhang III der EU-SCCs sowie Tabelle 1, Anhang 1A und Anhang 1B des UK Addendum erforderlichen Informationen.

1. Die Parteien

Datenexporteur(en):

• Name: Rechtlicher Name des Kundenunternehmens
• Geschäftsname (falls abweichend): [Optional]
• Adresse: Eingetragene Adresse des Kunden
• Amtliche Registrierungsnummer (falls vorhanden): [Optional]
• Name, Position und Kontaktdaten der Kontaktperson: Name, Titel, E-Mail
• Für die im Rahmen dieser Klauseln übermittelten Daten relevante Tätigkeiten: Nutzung der Dienste gemäß dem Vertrag, einschließlich der Übermittlung personenbezogener Daten des Kunden an Ultralytics zur Verarbeitung im Zusammenhang mit den Diensten, wie im Vertrag, in diesem DPA und in Anlage A beschrieben.
• Unterschrift und Datum: Durch Unterzeichnung/Annahme des Vertrags/DPA
• Rolle (Verantwortlicher/Auftragsverarbeiter): Verantwortlicher

Datenimporteur(e):

• Name: Ultralytics Inc.
• Geschäftsname (falls abweichend): N/A
• Adresse und Kontaktinformationen: 5001 Judicial Way, Frederick, MD, 21703, United States; privacy@ultralytics.com
• Amtliche Registrierungsnummer (falls vorhanden): 6755919
• Für die im Rahmen dieser Klauseln übermittelten Daten relevante Tätigkeiten: Verarbeitung personenbezogener Daten des Kunden im Auftrag des Kunden zur Bereitstellung, zum Betrieb, zur Absicherung, Wartung und Unterstützung der Dienste sowie wie anderweitig im Vertrag, in diesem DPA und in Anlage A beschrieben.
• Unterschrift und Datum: Durch Unterzeichnung/Annahme des Vertrags/DPA
• Rolle (Verantwortlicher/Auftragsverarbeiter): Wie in Abschnitt 3 des DPA beschrieben.

2. Beschreibung der Übermittlung

Auftragsverarbeiter innerhalb der Unternehmensgruppe:

Ultralytics Ltd (Vereinigtes Königreich) – technische Unterstützung, Kundensupport, Unterstützung bei der Einführung sowie geschäftliche Interaktionen (einschließlich Demonstrationen und Partnerschaften)

Ultralytics AI Spain, S.L. (Spanien) – technische Unterstützung, geschäftliche Interaktionen und kundenbezogene Tätigkeiten mit begrenzter Verarbeitung geschäftlicher Kontaktdaten

3. Zuständige Aufsichtsbehörde

Die Aufsichtsbehörde ist die Aufsichtsbehörde des Datenexporteurs, bestimmt gemäß Klausel 13 der EU-SCCs. Die Aufsichtsbehörde im Sinne des UK Addendum ist das UK Information Commissioner's Office.

Anlage C: Technische und organisatorische Sicherheitsmaßnahmen#

Die folgenden Angaben enthalten die nach Anhang II der EU-SCCs und Anhang II des UK Addendum erforderlichen Informationen.

Anlage D: UK Addendum#

Addendum zur internationalen Datenübermittlung zu den Standardvertragsklauseln der EU-Kommission

Teil 1: Tabellen#

Tabelle 1: Vertragsparteien

Tabelle 2: Ausgewählte SCCs, Module und Klauseln

Tabelle 3: Angaben im Anhang

„Angaben im Anhang“ bezeichnet die Informationen, die für die ausgewählten Module gemäß dem Anhang der genehmigten EU-SCCs bereitzustellen sind (mit Ausnahme der Vertragsparteien) und die für diese UK-Zusatzvereinbarung festgelegt sind in:

Tabelle 4: Beendigung dieser UK-Zusatzvereinbarung bei Änderungen der genehmigten UK-Zusatzvereinbarung

Hinweis: Diese Bestimmung gestattet es der ausgewählten Partei (falls vorhanden), die UK-Zusatzvereinbarung zu kündigen, wenn das ICO die genehmigte UK-Zusatzvereinbarung ändert und dies unmittelbar zu einer erheblichen, unverhältnismäßigen und nachweisbaren Erhöhung (a) ihrer direkten Kosten für die Erfüllung ihrer Pflichten aus der UK-Zusatzvereinbarung oder (b) ihres Risikos aus der UK-Zusatzvereinbarung führt.

Abschluss dieser UK-Zusatzvereinbarung#

Jede Partei erklärt sich damit einverstanden, an die in dieser UK-Zusatzvereinbarung festgelegten Bestimmungen und Bedingungen gebunden zu sein, unter der Voraussetzung, dass sich auch die andere Partei damit einverstanden erklärt, an diese UK-Zusatzvereinbarung gebunden zu sein.

Obwohl Anhang 1A und Klausel 7 der genehmigten EU-SCCs die Unterzeichnung durch die Vertragsparteien vorsehen, können die Vertragsparteien diese UK-Zusatzvereinbarung zum Zweck von Übermittlungen aus dem Vereinigten Königreich auf jede Weise abschließen, die sie rechtlich bindend für die Vertragsparteien macht und betroffenen Personen ermöglicht, ihre in dieser UK-Zusatzvereinbarung festgelegten Rechte durchzusetzen. Der Abschluss dieser UK-Zusatzvereinbarung hat dieselbe Wirkung wie die Unterzeichnung der genehmigten EU-SCCs und jedes Teils der genehmigten EU-SCCs.

Auslegung dieser UK-Zusatzvereinbarung#

Soweit diese UK-Zusatzvereinbarung Begriffe verwendet, die in den genehmigten EU-SCCs definiert sind, haben diese Begriffe dieselbe Bedeutung wie in den genehmigten EU-SCCs. Zusätzlich haben die folgenden Begriffe die jeweils angegebene Bedeutung:

Die UK-Zusatzvereinbarung ist stets so auszulegen, dass sie mit den Datenschutzgesetzen des Vereinigten Königreichs im Einklang steht und die Verpflichtung der Vertragsparteien zur Bereitstellung angemessener Garantien erfüllt.

Falls die Bestimmungen der UK-Zusatzvereinbarung die genehmigten EU-SCCs in einer Weise ändern, die nach den genehmigten EU-SCCs oder der genehmigten UK-Zusatzvereinbarung nicht zulässig ist, werden diese Änderungen nicht in die UK-Zusatzvereinbarung aufgenommen; an ihre Stelle tritt die entsprechende Bestimmung der genehmigten EU-SCCs.

Bei Widersprüchen oder Konflikten zwischen den Datenschutzgesetzen des Vereinigten Königreichs und der UK-Zusatzvereinbarung gelten die Datenschutzgesetze des Vereinigten Königreichs.

Ist die Bedeutung der UK-Zusatzvereinbarung unklar oder sind mehrere Auslegungen möglich, gilt die Bedeutung, die am engsten mit den Datenschutzgesetzen des Vereinigten Königreichs übereinstimmt.

Verweise auf Rechtsvorschriften (oder bestimmte Bestimmungen von Rechtsvorschriften) beziehen sich auf diese Rechtsvorschriften (oder Bestimmungen) in ihrer jeweils im Laufe der Zeit geänderten Fassung. Dies gilt auch, wenn diese Rechtsvorschriften (oder Bestimmungen) nach Abschluss der UK-Zusatzvereinbarung zusammengefasst, neu erlassen und/oder ersetzt wurden.

Rangfolge#

Obwohl Klausel 5 der genehmigten EU-SCCs festlegt, dass die genehmigten EU-SCCs Vorrang vor allen damit verbundenen Vereinbarungen zwischen den Parteien haben, vereinbaren die Parteien, dass für Übermittlungen aus dem Vereinigten Königreich die Rangfolge in Abschnitt 10 unten Vorrang hat.

Bei Widersprüchen oder Konflikten zwischen der genehmigten UK-Zusatzvereinbarung und den EU-SCCs (soweit anwendbar) hat die genehmigte UK-Zusatzvereinbarung Vorrang vor den EU-SCCs, außer wenn und soweit die widersprüchlichen oder kollidierenden Bestimmungen der EU-SCCs einen weitergehenden Schutz für betroffene Personen bieten; in diesem Fall haben diese Bestimmungen Vorrang vor der genehmigten UK-Zusatzvereinbarung.

Wenn diese UK-Zusatzvereinbarung EU-SCCs einbezieht, die zum Schutz von Übermittlungen aus der EU abgeschlossen wurden, die der GDPR unterliegen, erkennen die Parteien an, dass die UK-Zusatzvereinbarung keine Auswirkungen auf diese EU-SCCs hat.

Einbeziehung und Änderungen der EU-SCCs#

Diese UK-Zusatzvereinbarung bezieht die EU-SCCs ein, die im erforderlichen Umfang geändert werden, damit:

• sie gemeinsam für Datenübermittlungen vom Datenexporteur an den Datenimporteur gelten, soweit die Datenschutzgesetze des Vereinigten Königreichs auf die Verarbeitung des Datenexporteurs bei dieser Datenübermittlung anwendbar sind, und angemessene Garantien für diese Datenübermittlungen bieten;
• die Abschnitte 9 bis 11 oben Vorrang vor Klausel 5 (Rangfolge) der EU-SCCs haben; und
• die UK-Zusatzvereinbarung (einschließlich der darin einbezogenen EU-SCCs) (1) dem Recht von England und Wales unterliegt und (2) alle daraus entstehenden Streitigkeiten durch die Gerichte von England und Wales beigelegt werden.

Sofern die Parteien keine alternativen Änderungen vereinbart haben, die den Anforderungen von Abschnitt 12 dieser UK-Zusatzvereinbarung entsprechen, gelten die Bestimmungen von Abschnitt 15 dieser UK-Zusatzvereinbarung.

Abgesehen von Änderungen zur Erfüllung der Anforderungen von Abschnitt 12 dieser UK-Zusatzvereinbarung dürfen keine Änderungen an den genehmigten EU-SCCs vorgenommen werden.

Die folgenden Änderungen der EU-SCCs werden (für die Zwecke von Abschnitt 12 dieser UK-Zusatzvereinbarung) vorgenommen:

• Verweise auf die „Klauseln“ bezeichnen diese UK-Zusatzvereinbarung, die die EU-SCCs einbezieht;
• In Klausel 2 werden die Wörter „und in Bezug auf Datenübermittlungen von Verantwortlichen an Auftragsverarbeiter und/oder von Auftragsverarbeitern an Auftragsverarbeiter Standardvertragsklauseln gemäß Artikel 28 Absatz 7 der Verordnung (EU) 2016/679“ gestrichen;
• Klausel 6 (Beschreibung der Übermittlung(en)) wird ersetzt durch: „Die Einzelheiten der Übermittlung(en), insbesondere die Kategorien der übermittelten personenbezogenen Daten und der Zweck bzw. die Zwecke, zu denen sie übermittelt werden, sind in Anhang I.B festgelegt, soweit die Datenschutzgesetze des Vereinigten Königreichs auf die Verarbeitung des Datenexporteurs bei dieser Übermittlung anwendbar sind.“;
• Klausel 8.7(i) von Modul 1 wird ersetzt durch: „sie erfolgt in ein Land, für das Angemessenheitsregelungen gemäß Abschnitt 17A UK GDPR gelten, die die Weiterübermittlung abdecken“;
• Klausel 8.8(i) der Module 2 und 3 wird ersetzt durch: „die Weiterübermittlung erfolgt in ein Land, für das Angemessenheitsregelungen gemäß Abschnitt 17A UK GDPR gelten, die die Weiterübermittlung abdecken;“
• Verweise auf „Verordnung (EU) 2016/679“, „Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung)“ und „diese Verordnung“ werden jeweils durch „Datenschutzgesetze des Vereinigten Königreichs“ ersetzt. Verweise auf bestimmte Artikel der „Verordnung (EU) 2016/679“ werden durch den entsprechenden Artikel oder Abschnitt der Datenschutzgesetze des Vereinigten Königreichs ersetzt;
• Verweise auf die Verordnung (EU) 2018/1725 werden gestrichen;
• Verweise auf die „Europäische Union“, „Union“, „EU“, „EU-Mitgliedstaat“, „Mitgliedstaat“ und „EU oder Mitgliedstaat“ werden jeweils durch „Vereinigtes Königreich“ ersetzt;
• Der Verweis auf „Klausel 12(c)(i)“ in Klausel 10(b)(i) von Modul 1 wird durch „Klausel 11(c)(i)“ ersetzt;
• Klausel 13(a) und Teil C von Anhang I werden nicht verwendet;
• Der „zuständige Aufsichtsbehörde“ und die „Aufsichtsbehörde“ werden jeweils durch den „Informationsbeauftragten“ ersetzt;
• In Klausel 16(e) wird Unterabsatz (i) ersetzt durch: „der Secretary of State erlässt gemäß Abschnitt 17A des Data Protection Act 2018 Vorschriften, die die Übermittlung personenbezogener Daten abdecken, auf die diese Klauseln Anwendung finden;“;
• Klausel 17 wird ersetzt durch: „Diese Klauseln unterliegen dem Recht von England und Wales“;
• Klausel 18 wird ersetzt durch: „Alle aus diesen Klauseln entstehenden Streitigkeiten werden durch die Gerichte von England und Wales beigelegt.“ Eine betroffene Person kann außerdem vor den Gerichten jedes Landes im Vereinigten Königreich rechtliche Schritte gegen den Datenexporteur und/oder den Datenimporteur einleiten. Die Parteien vereinbaren, sich der Zuständigkeit dieser Gerichte zu unterwerfen.“; und
• Die Fußnoten zu den genehmigten EU-SCCs sind nicht Bestandteil der UK-Zusatzvereinbarung, mit Ausnahme der Fußnoten 8, 9, 10 und 11.

Änderungen der UK-Zusatzvereinbarung#

Die Parteien können vereinbaren, Klausel 17 und/oder 18 der EU-SCCs zu ändern, um auf das Recht und/oder die Gerichte von Schottland oder Nordirland zu verweisen.

Wenn die Parteien das Format der in Teil 1: Tabellen der genehmigten UK-Zusatzvereinbarung enthaltenen Informationen ändern möchten, können sie dies durch eine schriftliche Vereinbarung über die Änderung tun, sofern die Änderung die angemessenen Garantien nicht verringert.

Das ICO kann von Zeit zu Zeit eine überarbeitete genehmigte UK-Zusatzvereinbarung herausgeben, die:

• angemessene und verhältnismäßige Änderungen an der genehmigten UK-Zusatzvereinbarung vornimmt, einschließlich der Korrektur von Fehlern in der genehmigten UK-Zusatzvereinbarung; und/oder
• Änderungen der Datenschutzgesetze des Vereinigten Königreichs berücksichtigt.

Die überarbeitete genehmigte UK-Zusatzvereinbarung legt das Datum fest, ab dem die Änderungen der genehmigten UK-Zusatzvereinbarung wirksam werden, und ob die Parteien diese UK-Zusatzvereinbarung einschließlich der Angaben im Anhang überprüfen müssen. Diese UK-Zusatzvereinbarung wird ab dem in der überarbeiteten genehmigten UK-Zusatzvereinbarung angegebenen Datum automatisch entsprechend geändert.

Wenn das ICO gemäß Abschnitt 18 dieser UK-Zusatzvereinbarung eine überarbeitete genehmigte UK-Zusatzvereinbarung herausgibt und eine Partei infolge der Änderungen der genehmigten UK-Zusatzvereinbarung eine erhebliche, unverhältnismäßige und nachweisbare Erhöhung erfährt bei:

• ihren direkten Kosten für die Erfüllung ihrer Pflichten aus der UK-Zusatzvereinbarung; und/oder
• ihrem Risiko aus der UK-Zusatzvereinbarung,

und sie in jedem Fall zuvor angemessene Schritte unternommen hat, um diese Kosten oder Risiken so weit zu reduzieren, dass sie nicht erheblich und unverhältnismäßig sind, kann diese Partei die UK-Zusatzvereinbarung zum Ende einer angemessenen Kündigungsfrist beenden, indem sie der anderen Partei vor dem Beginn der überarbeiteten genehmigten UK-Zusatzvereinbarung eine schriftliche Mitteilung für diesen Zeitraum zukommen lässt.

Die Parteien benötigen für Änderungen dieser UK-Zusatzvereinbarung nicht die Zustimmung eines Dritten; alle Änderungen müssen jedoch gemäß ihren Bestimmungen vorgenommen werden.