Auftragsverarbeitungs-vereinbarung

Frontify AG, Version: Oktober 2024

1. Präambel

Im Rahmen der Erbringung der Frontify-Dienste gemäss dem Vertrag zwischen Frontify und dem Kunden kann Frontify personenbezogene Daten im Auftrag des Kunden verarbeiten. Die Parteien verpflichten sich, die Bedingungen dieser Auftragsverarbeitungsvereinbarung einschließlich ihrer Anhänge (zusammen als "AVV" bezeichnet) einzuhalten. Der AVV bildet mit Unterzeichnung des Vertrages automatisch einen integralen Bestandteil des Vertrages durch Verweis. Im Falle eines Widerspruchs zwischen den Bestimmungen der AVV und den Bestimmungen des Vertrages sind die Bestimmungen der AVV massgeblich.

Die Parteien erkennen an und vereinbaren, dass der Kunde als Verantwortlicher oder Auftragsverarbeiter in Bezug auf personenbezogene Daten seines Personals, seiner Dienstleister, Lieferanten und/oder anderer vom Kunden einbezogener Dritter ("personenbezogene Daten des Kunden") gelten kann. Infolgedessen ist festzuhalten,

• dass Frontify ein Auftragsverarbeiter ist, wenn der Kunde als Verantwortlicher gilt,
• und dass Frontify ein Unterauftragsverarbeiter ist, wenn der Kunde als Auftragsverarbeiter gilt.

Diese AVV spiegelt die Verpflichtung der Parteien wider, die Datenschutzgesetze in Bezug auf die Verarbeitung personenbezogener Daten des Kunden im Rahmen des Vertrages einzuhalten. Die Kategorien der personenbezogenen Daten und der betroffenen Personen, die im Rahmen dieser AVV verarbeitet werden, sowie der Gegenstand, die Dauer und die Art der Verarbeitung sind in Anhang A (Gegenstand und Einzelheiten der Verarbeitungstätigkeiten) näher beschrieben.

2. Begriffsbestimmungen

Sofern in dieser AVV oder im Vertrag nicht anders definiert, haben alle in diesem Abschnitt aufgelisteten Begriffe die angegebene Bedeutung.

„Angemessenes Drittland“ bezeichnet (i) im Falle der Anwendbarkeit der DSGVO ein Land, für das die Europäische Kommission einen Angemessenheitsbeschluss im Sinne von Art. 45(1) erlassen hat, (ii) im Falle der Anwendbarkeit des Datenschutzgesetzes des Vereinigten Königreichs ein Land, für das ein Angemessenheitsbeschluss gemäß Abschnitt 17A des Data Protection Act 2018 erlassen wurde, und (iii) im Falle der Anwendbarkeit des Schweizer Datenschutzgesetzes ein Land, das in Anhang 1 der Verordnung über den Datenschutz (SR 235.11) aufgeführt ist.

"Antrag der betroffenen Person" ist ein Gesuch, das von einer betroffenen Person gestellt wird, um das Recht der betroffenen Person auf Auskunft, Berichtigung, Löschung, Übertragung oder Portierung personenbezogener Daten des Kunden oder auf Einschränkung oder Widerspruch der Verarbeitung personenbezogener Daten des Kunden gemäss Kapitel III der DSGVO auszuüben.

"Auftragsverarbeiter" bezeichnet eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

"Betroffene Person" ist die natürliche Person, auf die sich die personenbezogenen Daten beziehen.

"Datenschutzgesetz des Vereinigten Königreichs" bezeichnet den Data Protection Act 2018 und die United Kingdom General Data Protection Regulation.

"Datenschutzgesetze" bezeichnet alle Gesetze und Vorschriften, die auf die Verarbeitung personenbezogener Daten im Rahmen des Vertrages anwendbar sind, einschließlich, aber nicht beschränkt auf die DSGVO, die Gesetze des EWR und seiner Mitgliedsstaaten, sowie die Gesetze der Schweiz, der Vereinigten Staaten von Amerika und des Vereinigten Königreichs.

"Datum des Inkrafttretens" bedeutet das Datum des Inkrafttretens des Vertrages.

"DSGVO" bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung).

"EWR" bezeichnet den Europäischen Wirtschaftsraum.

"Frontify" bezeichnet die Frontify AG.

"Frontify-Dienste" bezeichnet die von Frontify angebotenen und vom Kunden im Rahmen des Vertrages erworbenen Produkte und Dienstleistungen, sowohl aktuell als auch in Zukunft, einschließlich des Rechts und/oder der Lizenz zur Nutzung der Frontify-Plattform.

"Frontify-Plattform" bezeichnet die Software, die Frontify dem Kunden zur Nutzung über das Internet zur Verfügung stellt, namentlich die von Frontify angebotene webbasierte All-in-One Markenmanagement-SaaS-Lösung, die mobile App und die Desktop-App.

"Kunde" umfasst, ausschliesslich für die Zwecke dieser AVV und sofern nicht anders vereinbart, den Kunden von Frontify im Rahmen des Vertrages, einschliesslich der verbundenen Unternehmen des Kunden.

„Benachrichtigungs-E-Mail-Adresse des Kunden“ bezeichnet die E-Mail-Adresse, die im Vertrag als Kontaktadresse des Kunden für rechtliche und/oder datenschutzrechtliche Benachrichtigungen angegeben ist; oder, falls im Vertrag keine E-Mail-Adresse angegeben ist, die E-Mail-Adresse eines oder mehrerer Kundenkontakte in den Aufzeichnungen von Frontify.

„Benachrichtigungs-E-Mail-Adresse von Frontify“ bezeichnet privacy@frontify.com.

"Kundendaten" sind alle Daten, einschließlich personenbezogener Daten des Kunden, die vom Kunden, seinen verbundenen Unternehmen oder seiner Nutzer über die Frontify-Dienste übermittelt, gespeichert, gesendet oder empfangen werden.

"Laufzeit" bezeichnet den Zeitraum ab dem Datum des Inkrafttretens bis zur Beendigung der Erbringung der Frontify-Dienste, gegebenenfalls einschliesslich eines Zeitraums, in dem die Erbringung der Frontify-Dienste ausgesetzt wurde, und eines Zeitraums nach der Beendigung, in dem die Frontify-Dienste zu Übergangszwecken weiter erbracht werden.

"Nutzer" bezeichnet jede natürliche Person, die berechtigt ist, die Frontify-Dienste gemäss dem Vertrag zu nutzen.

"Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare betroffene Person beziehen; als identifizierbar wird eine betroffene Person angesehen, die direkt oder indirekt identifiziert werden kann.

"Produkte und Dienste von Drittanbietern" sind unabhängige Produkte und Dienste von Drittanbietern, die nicht direkt durch Frontify lizenziert werden, einschliesslich, jedoch nicht beschränkt auf webbasierte, mobile, offline oder andere Softwarefunktionen, die mit den Frontify-Diensten interagieren. Produkte und Dienste von Drittanbietern können vom Kunden oder einem Drittanbieter bereitgestellt und nach Wahl des Kunden aktiviert werden, um die Erfahrung und Funktionalität der Frontify-Dienste zu erweitern.

"Schweizer Datenschutzgesetz" bedeutet das Bundesgesetz über den Datenschutz (SR 235.1) und die Verordnung über den Datenschutz (SR 235.11).

"Standardvertragsklauseln" oder "SCC" bezeichnet den Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung Personenbezogener Daten in Drittländer gemäss der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates.

"Technische und organisatorische Massnahmen" oder "TOMs" bezeichnet eine Reihe von Regeln, Leitlinien, Richtlinien und Verfahren, die sicherstellen sollen, dass alle Nutzer, Server, Netzwerke und Prozesse innerhalb einer Organisation das angemessene Sicherheitsniveau und die Datenschutzstandards gemäss den Datenschutzgesetzen erfüllen.

"Unterauftragsverarbeiter" bezeichnet jeden Drittanbieter, der von Frontify beauftragt wird, personenbezogene Daten des Kunden im Rahmen der Erbringung der Frontify-Dienste zu verarbeiten.

"Verantwortlicher" bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt.

"Verarbeitung" oder "Verarbeitungstätigkeit" bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

"Verbundenes Unternehmen" bedeutet jedes Unternehmen, das direkt oder indirekt das betreffende Unternehmen kontrolliert, von ihm kontrolliert wird oder unter gemeinsamer Kontrolle mit ihm steht. "Kontrolle" im Sinne dieser Definition bedeutet das direkte oder indirekte Eigentum an oder die Macht über mehr als 50 % der stimmberechtigten Anteile des betreffenden Unternehmens oder die Möglichkeit, die Finanz- und Geschäftspolitik zu bestimmen oder die Geschäftsführung des betreffenden Unternehmens zu ernennen.

"Vertrag" bezeichnet den Frontify-Lizenzvertrag, das Bestellformular oder einen anderen schriftlichen oder elektronischen Vertrag, der zwischen Frontify und dem Kunden für die Nutzung der Frontify-Dienste geschlossen wurde, einschließlich aller Anhänge, insbesondere, aber nicht beschränkt auf das Angebot, die AGB, das Service Level Agreement und jedes andere zusätzliche Dokument, das das Vertragsverhältnis zwischen den Parteien regelt.

3. Durchführung und Dauer

3.1. Einführung

Diese AVV ist integraler Bestandteil des Vertrages und muss nicht separat unterzeichnet werden. Jede Partei schließt diese AVV in ihrem eigenen Namen und, soweit nach den Datenschutzgesetzen erforderlich und/oder zulässig, im Namen und im Auftrag ihrer verbundenen Unternehmen ab.

Diese AVV wird ab dem Datum des Inkrafttretens rechtsverbindlich und ersetzt alle zuvor von den Parteien vereinbarten Bestimmungen zum Datenschutz, zur Datenverarbeitung und/oder zur Datensicherheit. Diese AVV endet automatisch mit der Beendigung des Vertrages oder mit einer früheren Beendigung gemäss den hierin festgelegten Bedingungen.

3.2. Bestandteile dieser AVV

Diese AVV besteht aus vier (4) Teilen:

• Der Hauptteil der AVV;
• Anhang A (Gegenstand und Einzelheiten der Verarbeitungstätigkeiten);
• Anhang B (Liste der Unterauftragsverarbeiter);
• Anhang C (Technische und organisatorische Massnahmen)

4. Rollen und Einhaltung von Vorschriften

4.1. Verantwortlicher und Auftragsverarbeiter

In Übereinstimmung mit ihren jeweiligen Rollen und unter Einhaltung der Datenschutzgesetze erkennen der Kunde in seiner Eigenschaft als Verantwortlicher oder Auftragsverarbeiter und Frontify in seiner Eigenschaft als Auftragsverarbeiter oder Unterauftragsverarbeiter an und vereinbaren, dass:

1. der Gegenstand und die Einzelheiten der Verarbeitungstätigkeit in Anhang A beschrieben sind;
2. jede Partei den Verpflichtungen aus den Datenschutzgesetzen in Bezug auf die Verarbeitung personenbezogener Daten des Kunden nachkommen wird.

4.2. Ermächtigung durch eine Drittpartei in der Funktion des Verantwortlichen

Soweit der Kunde ein Auftragsverarbeiter ist, gewährleistet der Kunde, dass die Anweisungen und Handlungen des Kunden in Bezug auf die personenbezogenen Daten des Kunden, einschliesslich der Ernennung von Frontify als Unterauftragsverarbeiter, von dem jeweiligen für die Verarbeitung Verantwortlichen ordnungsgemäss genehmigt worden sind.

5. Auftragsverarbeitung

5.1. Umfang der Verarbeitung

Mit dem Abschluss dieser AVV vereinbaren die Parteien, dass Frontify personenbezogene Daten des Kunden nur im Zusammenhang mit der Erbringung der Frontify-Dienste und/oder auf dokumentierte Anweisung des Kunden verarbeitet.

Der Gegenstand und die Einzelheiten der Verarbeitung sind in Anlage A aufgeführt, und Frontify wird sich ausschliesslich auf diese stützen, es sei denn, eine weitere Verarbeitung ist (a) durch anwendbare Gesetze vorgeschrieben, (b) basiert auf dokumentierten Anweisungen des Kunden oder (c) wurde von den Parteien anderweitig schriftlich vereinbart. Wenn und soweit anwendbare Gesetze eine weitere Verarbeitung der personenbezogenen Daten des Kunden erfordern, wird Frontify den Kunden, soweit gesetzlich zulässig, unverzüglich per E-Mail an die Benachrichtigungs-E-Mail-Adresse des Kunden informieren.

Frontify benachrichtigt den Kunden, wenn Frontify der Ansicht ist, dass die dokumentierten Anweisungen des Kunden gegen Datenschutzgesetze verstossen, und ist berechtigt, die Ausführung der betreffenden Anweisung auszusetzen, bis der Kunde eine datenschutzkonforme Anweisung erteilt. Wenn die dokumentierten Anweisungen des Kunden gegen Datenschutzgesetze verstossen, stellt der Kunde Frontify von allen Ansprüchen, Schäden und Verbindlichkeiten, die sich aus solchen Anweisungen ergeben, frei und hält Frontify schadlos.

5.2. Rechtmässigkeit der Verarbeitung

Der Kunde verpflichtet sich, bei der Nutzung der Frontify-Dienste und der Erteilung von Anweisungen die personenbezogenen Daten des Kunden in Übereinstimmung mit den Anforderungen der Datenschutzgesetze zu verwenden und zu verarbeiten, einschliesslich, aber nicht beschränkt auf die Verpflichtung, die betroffenen Personen über die Verwendung von Frontify als Auftragsverarbeiter zu informieren. Der Kunde trägt die alleinige Verantwortung für die Richtigkeit, Qualität und Rechtmässigkeit der personenbezogenen Daten des Kunden und dafür, wie der Kunde die personenbezogenen Daten des Kunden gesammelt hat.

5.3. Löschung oder Rückgabe von persönlichen Daten des Kunden

Während der Laufzeit ermöglicht Frontify dem Kunden und/oder den Nutzern, Kundendaten über die Funktionalitäten der Frontify-Dienste zu löschen. Wenn der Kunde oder ein Benutzer Kundendaten löscht, werden diese in Übereinstimmung mit dem anwendbaren Recht aus den Systemen von Frontify entfernt.

Nach Beendigung des Vertrags und auf schriftliche Anfrage stellt Frontify dem Kunden eine Kopie der Kundendaten auf einem handelsüblichen Datenträger oder durch elektronische Übertragung in einem von den Parteien vereinbarten Format zur Verfügung. Neunzig (90) Tage nach dem Datum des Inkrafttretens der Beendigung des Vertrages oder auf Verlangen des Kunden auch schon vorher wird Frontify alle Kundendaten löschen, es sei denn, dies ist aufgrund gesetzlicher Aufbewahrungspflichten nicht möglich.

Frontify kann Kundendaten aufbewahren, die (a) in einem archivierten Computersystem-Backup in Übereinstimmung mit Sicherheits- und/oder Disaster-Recovery-Verfahren enthalten sind; (b) in latenten Daten enthalten sind, einschließlich gelöschter Dateien und anderer nicht logischer Datentypen wie Speicherabzüge, Auslagerungsdateien, temporäre Dateien, Drucker-Spool-Dateien und Metadaten, die ohne den Einsatz spezieller Tools und Techniken nicht allgemein abrufbar oder zugänglich sind; (c) zu Zwecken der Einhaltung gesetzlicher Vorschriften, der Archivierung oder der Aufbewahrung von Aufzeichnungen in Übereinstimmung mit geltendem Recht erstellt werden; oder (d) zu Zwecken der Bestätigung der Einhaltung dieser AVV aufbewahrt werden, jeweils vorbehaltlich der Vernichtung dieser Kundendaten zu gegebener Zeit und der Unzugänglichkeit dieser Kundendaten durch Frontify und derer Angestellten im Rahmen des normalen Geschäftsbetriebs, und ferner, dass diese Kundendaten in jedem Fall den Bestimmungen der AVV unterliegen.

Personenbezogene Kundendaten, die im Computersystem-Backup gespeichert sind, werden automatisch nach dreihundertfünfundsechzig (365) Tagen ab der Erstellung des Backups gelöscht. Auf schriftliche Anfrage stellt Frontify dem Kunden eine Bestätigung aus, dass die personenbezogenen Kundendaten vollständig gelöscht worden sind.

6. Unterauftragsverarbeitung

6.1. Beauftragung von Unterauftragsverarbeitern

Der Kunde ist generell damit einverstanden, dass Frontify Unterauftragsverarbeiter einsetzt, um seine vertraglichen Verpflichtungen aus dem Vertrag zu erfüllen. Daher genehmigt der Kunde die Beauftragung von verbundenen Unternehmen von Frontify und von Dritten als Unterauftragsverarbeiter, sofern die in diesem und Abschnitt 10 genannten Bedingungen eingehalten werden.

Frontify schliesst mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung ab, die Datenschutzverpflichtungen enthält, die im Wesentlichen den in dieser DPA vereinbarten Verpflichtungen entsprechen, wobei Art, Umfang, Umstände und Zwecke der vom Unterauftragsverarbeiter erbrachten Dienstleistungen berücksichtigt werden.

Frontify stellt sicher, dass der Unterauftragsverarbeiter nur in dem Umfang auf Kundendaten zugreift und diese verarbeitet, wie es für die Erfüllung der an ihn übertragenen Verpflichtungen gemäss dem Vertrag, einschließlich dieser AVV, erforderlich ist.

Frontify haftet für alle an die Unterauftragsverarbeiter übertragenen Verpflichtungen sowie für alle Handlungen und Unterlassungen der Unterauftragsverarbeiter in demselben Umfang, in dem Frontify haften würde, wenn Frontify die Dienstleistungen jedes Unterauftragsverarbeiters gemäss den Bedingungen dieser AVV direkt erbringen würde. Sämtliche Haftungsbeschränkungen, die im Vertrag oder dieser AVV festgelegt sind, gelten auch für Handlungen und Unterlassungen der Unterauftragsverarbeiter.

6.2. Liste der Unterauftragsverarbeiter und Hinzuziehung neuer Unterauftragsverarbeiter

Die derzeitigen Unterauftragsverarbeiter von Frontify sind in Anhang B („Liste der Unterauftragsverarbeiter“) aufgeführt. Wenn ein neuer Unterauftragsverarbeiter beauftragt wird, aktualisiert Frontify die Liste der Unterauftragsverarbeiter und benachrichtigt den Kunden unter der Benachrichtigungs-E-Mail-Adresse des Kunden mindestens vierzehn (14) Tage bevor der neue Unterauftragsverarbeiter Zugriff auf die personenbezogenen Daten des Kunden erhält.

Der Kunde kann gegen jeden neuen Unterauftragsverarbeiter aus angemessenen und berechtigten Gründen Einspruch erheben (z. B. wenn die Einschaltung des neuen Unterauftragsverarbeiters gegen Datenschutzgesetze verstossen könnte). Falls der Kunde einem neuen Unterauftragsverarbeiter widerspricht, muss er dies innerhalb von vierzehn (14) Tagen seit der entsprechenden Benachrichtigung schriftlich an die Benachrichtigungs-E-Mail-Adresse von Frontify mitteilen und die spezifischen Bedenken des Kunden bezüglich des neuen Unterauftragsverarbeiters darlegen, um Frontify die Möglichkeit zu geben, diese Bedenken zu berücksichtigen. Frontify wird sich in wirtschaftlich angemessener Weise bemühen, alle berechtigten Bedenken zu analysieren und kann nach eigenem Ermessen: (a) entscheiden, den neuen Unterauftragsverarbeiter nicht zu ernennen und/oder einen alternativen Unterauftragsverarbeiter vorzuschlagen; (b) Schritte unternehmen, um die spezifischen Bedenken des Kunden zu beheben oder zu entschärfen, und die schriftliche Zustimmung des Kunden zur Nutzung des neuen Unterauftragsverarbeiters einholen; oder (c) dem Kunden die Frontify-Dienste ohne die vom neuen Unterauftragsverarbeiter bereitgestellten Dienste oder Funktionen zur Verfügung stellen. Wenn Frontify nicht in der Lage ist oder nach vernünftigem Ermessen feststellt, dass es wirtschaftlich unzumutbar ist, eine der vorgenannten Möglichkeiten zu nutzen, kann der Kunde die betroffenen Teile der Frontify-Dienste durch schriftliche Mitteilung innerhalb von dreissig (30) Tagen ausserordentlich kündigen. Frontify erstattet dem Kunden anteilig alle im Voraus gezahlten Gebühren für die verbleibende Laufzeit nach dem wirksamen Kündigungsdatum in Bezug auf die gekündigten Frontify-Dienste, ohne dem Kunden eine Vertragsstrafe für diese Kündigung aufzuerlegen.

7. Rechte der betroffenen Person

Während der Laufzeit ermöglicht Frontify dem Kunden mit Hilfe der Funktionalitäten der Frontify-Dienste den Zugriff auf die personenbezogenen Daten des Kunden sowie deren Berichtigung, Einschränkung, Löschung und Export.

Falls ein Antrag einer betroffenen Person im Zusammenhang mit der Verarbeitung personenbezogener Daten des Kunden durch Frontify direkt an Frontify gerichtet wird, wird Frontify, sofern rechtlich zulässig, den Kunden entweder unverzüglich informieren und ihm die Einzelheiten des Antrags mitteilen, oder die betroffene Person auffordern, den Antrag direkt an den Kunden zu richten. Der Kunde ist für die Beantwortung eines Antrags der betroffenen Person verantwortlich, gegebenenfalls auch durch Nutzung der Funktionen der Frontify-Dienste.

Frontify unterstützt den Kunden bei der Erfüllung seiner Verpflichtungen nach den Datenschutzgesetzen, einschliesslich der Verpflichtung, auf Anträge von betroffenen Personen zu reagieren.

8. Sicherheit

8.1. Technische und organisatorische Massnahmen ("TOMs")

Frontify stellt die Einhaltung der durch die Datenschutzgesetze auferlegten Verpflichtungen in Bezug auf die Sicherheit der personenbezogenen Daten des Kunden sicher. Insbesondere wird Frontify unter Berücksichtigung Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung personenbezogener Daten des Kunden sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Massnahmen implementieren und aufrechterhalten, um ein dem Risiko angemessenes Schutzniveau im Sinne von Art. 32 DSGVO zu gewährleisten. Die TOMs sind integraler Bestandteil dieser AVV und sind als Anlage C beigefügt.

Die TOMs können sich im Laufe der Zeit ändern oder ersetzt werden. Frontify stellt jedoch sicher, dass eine solche Änderung oder ein solcher Ersatz niemals das angemessene Schutzniveau für die personenbezogenen Daten des Kunden beeinträchtigt.

8.2. Überprüfung und Berichte

Auf Anfrage des Kunden und unter der Voraussetzung, dass der Kunde zur Geheimhaltung verpflichtet ist, stellt Frontify dem Kunden (oder einem unabhängigen Drittprüfer des Kunden) Informationen über die Einhaltung der in dieser AVV dargelegten Verpflichtungen von Frontify zur Verfügung. Frontify beauftragt externe Prüfer mit der Überprüfung der Angemessenheit seiner Sicherheitsmassnahmen. Diese Überprüfungen werden (a) mindestens einmal jährlich auf der Grundlage der ISO 27001-Norm oder alternativer Normen, die der ISO 27001-Norm im Wesentlichen gleichwertig sind, durchgeführt; (b) von unabhängigen Sicherheitsexperten nach Wahl und auf Kosten von Frontify durchgeführt; und (c) führen zur Erstellung eines Prüfungsberichts ("Bericht"), welcher als vertrauliche Information von Frontify gilt. Auf schriftliche Anfrage des Kunden, stellt Frontify eine Kopie des Berichts zur Verfügung.

Wenn der Kunde trotz des Vorstehenden eine zusätzliche Überprüfung der Verfahren von Frontify in Bezug auf die personenbezogenen Daten des Kunden durchführen möchte, muss der Kunde Frontify einen entsprechenden Antrag stellen, und Frontify kann diesem Antrag zustimmen, sofern a) eine solche Überprüfung gemäss Datenschutzgesetz erforderlich ist; und b) eine ähnliche Überprüfung nicht bereits vor weniger als zwölf (12) Monaten durchgeführt wurde. Die vorstehenden Einschränkungen dürfen jedoch nicht die Durchführung einer solchen zusätzlichen Prüfung verhindern, wenn es Hinweise auf Datenschutzverstösse gibt und/oder die Überprüfung von einer Aufsichtsbehörde oder einer anderen zuständigen Regulierungsbehörde verlangt wird. Der Kunde erstattet Frontify die mit einer solchen Überprüfung verbundenen Kosten zu den jeweils gültigen Sätzen von Frontify, die dem Kunden auf Anfrage zur Verfügung gestellt werden. Vor Beginn einer solchen Überprüfung vereinbaren die Parteien einvernehmlich den Umfang, den Zeitpunkt und die Dauer sowie die Höhe der vom Kunden zu tragende Kostenerstattung. Alle Erstattungssätze müssen unter Berücksichtigung der von Frontify aufgewendeten Ressourcen angemessen sein. Der Kunde informiert Frontify unverzüglich über alle während einer Überprüfung festgestellten Verstösse, und Frontify unternimmt wirtschaftlich angemessene Anstrengungen, um alle von Frontify akzeptierten Verstösse zu beheben. Die Parteien verpflichten sich die Informationen im Zusammenhang mit einer solchen Überprüfung streng vertraulich zu behandeln.

8.3. Vertraulichkeit und Schulungen

Frontify stellt sicher, dass alle Mitarbeitenden und Dienstleistenden, die zur Verarbeitung von Kundendaten berechtigt sind, zur Geheimhaltung verpflichtet sind. Des Weiteren führt Frontify regelmäßig Schulungen für Mitarbeitende zu den Themen Datenschutz, Vertraulichkeit und Datensicherheit durch.

8.4. Management von Sicherheitsvorfällen und Benachrichtigung

Frontify unterhält Richtlinien und Verfahren für das Management von Sicherheitsvorfällen. Frontify benachrichtigt den Kunden unverzüglich, in jedem Fall aber innerhalb von 48 Stunden nach Bekanntwerden, über jede Verletzung in Bezug auf die personenbezogenen Daten des Kunden, die eine Benachrichtigung einer Aufsichtsbehörde, einer betroffenen Person oder des Kunden gemäss Datenschutzgesetz erforderlich machen könnte ("Sicherheitsvorfall"). Die Benachrichtigung über einen Sicherheitsvorfall erfolgt per E-Mail an die Benachrichtigungs-E-Mail-Adresse des Kunden und enthält mindestens die folgenden Angaben:

• eine Beschreibung der Art Sicherheitsvorfalls, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
• den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;
• eine Beschreibung der wahrscheinlichen Folgen des Sicherheitsvorfalls;
• eine Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Massnahmen zur Behebung Sicherheitsvorfalls und gegebenenfalls Massnahmen zur Abmilderung dessen möglichen nachteiligen Auswirkungen.

Sollte es nicht möglich sein, die oben genannten Informationen gleichzeitig mit der Benachrichtigung zu übermitteln, so werden diese schnellstmöglich zu einem späteren Zeitpunkt nachgereicht.

Die Parteien vereinbaren, dass die Benachrichtigung von Frontify über einen Sicherheitsvorfall, nicht als Anerkennung eines Verschuldens oder einer Haftung von Frontify in Bezug auf den Sicherheitsvorfall angesehen wird. Frontify wird in wirtschaftlich vertretbarem Umfang mit dem Kunden zusammenarbeiten, um die Ursache eines solchen Sicherheitsvorfalls zu ermitteln, und, sofern die Behebung im Einflussbereich von Frontify liegt, angemessene Schritte zur Behebung dieser Ursache unternehmen. Sofern nicht durch Datenschutzgesetze vorgeschrieben, gelten die hierin enthaltenen Verpflichtungen nicht für Vorfälle, die durch den Kunden, Nutzer oder Produkte und Dienste von Drittanbietern verursacht werden.

9. Haftungsbegrenzung

Die Gesamthaftung jeder Partei und ihrer verbundenen Unternehmen, die sich aus dieser AVV ergibt oder mit ihr in Zusammenhang steht, unterliegt den im Vertrag vereinbarten Haftungsbeschränkungen.

10. Speicherstandort und Datenübertragungen

10.1. Speicherstandort

Entsprechend der vom Kunden im Vertrag getroffenen Festlegung werden die personenbezogenen Daten des Kunden auf Datenservern gespeichert, die sich im EWR oder in den USA befinden. Darüber hinaus werden die personenbezogenen Daten des Kunden am Hauptsitz von Frontify in der Schweiz verarbeitet. Eine Übermittlung von personenbezogenen Daten des Kunden an einen Ort ausserhalb eines angemessenen Drittlandes erfolgt nur, sofern die Datenschutzgesetze eingehalten werden und die in diesem Abschnitt 10 genannten Bedingungen erfüllt sind.

10.2. Datenübertragung nach der DSGVO

Sofern spezifische Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten des Kunden an einen Ort ausserhalb eines angemessenen Drittlandes erfordern, vereinbaren die Parteien hiermit, dass Frontify die Einhaltung der Bestimmungen von Kapitel V der DSGVO durch die Implementierung der in Art. 46(2) DSGVO geforderten Massnahmen gewährleistet. Solche Massnahmen können unter anderem die Übermittlung personenbezogener Daten des Kunden (a) an einen Unterauftragsverarbeiter, dem verbindliche interne Datenschutzvorschriften gemäss Art. 47 DSGVO genehmigt wurden, oder (b) an einen Unterauftragsverarbeiter, der die Standardvertragsklauseln unterzeichnet hat, umfassen. Der jeweilige Datenübertragungsmechanismus für die einzelnen Unterauftragsverarbeiter ist in der Liste der Unterauftragsverarbeiter (Anhang B) aufgeführt.

Sollte ein Beschluss der Europäischen Kommission, der die Übermittlung personenbezogener Daten ausserhalb des EWR genehmigt, für ungültig erklärt werden oder eine Aufsichtsbehörde die Aussetzung der Übermittlung personenbezogener Daten verlangt, wird Frontify einen alternativen Datenübertragungsmechanismus implementieren, der es dem Kunden ermöglicht, die Frontify-Dienste unter Einhaltung der Datenschutzgesetze weiterhin zu nutzen.

10.3. Datenübertragung nach dem Datenschutzgesetz des Vereinigten Königreichs

Soweit das Datenschutzgesetz des Vereinigten Königreichs auf personenbezogene Daten des Kunden anwendbar ist und soweit es das Datenschutzgesetz des Vereinigten Königreichs erfordert, wird Frontify personenbezogene Daten des Kunden nur dann an einen Ort ausserhalb eines angemessenen Drittlandes übermitteln, sofern die anwendbaren Massnahmen gemäss dem Datenschutzgesetz des Vereinigten Königreichs und die Anweisungen des Information Commissioner des Vereinigten Königreichs umgesetzt wurden.

10.4. Datenübertragung nach dem Schweizer Datenschutzgesetz

Soweit das Schweizer Datenschutzgesetz auf personenbezogene Daten des Kunden anwendbar ist und soweit es das Schweizer Datenschutzgesetz erfordert, wird Frontify personenbezogene Daten des Kunden nur dann an einen Ort ausserhalb eines angemessenen Drittlandes übermitteln, sofern die anwendbaren Massnahmen gemäss dem Schweizer Datenschutzgesetz und die Anweisungen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) umgesetzt wurden.

11. Kundenunterstützung und behördliche Anfragen

Auf Anfrage und soweit dies nach den Datenschutzgesetzen erforderlich ist, wird Frontify unter Berücksichtigung der Frontify zur Verfügung stehenden Informationen und unter der Voraussetzung, dass der Kunde keinen anderen Zugang zu diesen Informationen hat, den Kunden in angemessener Weise bei der Erfüllung der einschlägigen Verpflichtungen gemäß Art. 32 bis 36 DSGVO unterstützen.

Falls Frontify gehalten ist, personenbezogene Daten des Kunden an Strafverfolgungs- oder andere staatliche Behörden herauszugeben, wird Frontify den Kunden, soweit gesetzlich zulässig, in geeigneter Weise benachrichtigen, damit der Kunde die Möglichkeit hat, geeignete Rechtsmittel gegen solche Herausgabeanordnungen zu ergreifen.

Soweit gesetzlich zulässig, erstattet der Kunde Frontify die mit einer solchen Kundenunterstützung verbundenen Kosten zu den jeweils gültigen Sätzen von Frontify, die dem Kunden auf Anfrage zur Verfügung gestellt werden.

12. Schlussbestimmungen

12.1. Salvatorische Klausel

Sollten einzelne Bestimmungen dieser AVV unwirksam oder unvollständig sein oder sollte die Erfüllung unmöglich sein, so berührt dies die Wirksamkeit der übrigen Bestimmungen dieser AVV nicht. Ungültige Bestimmungen sind durch eine gültige und zulässige Bestimmung zu ersetzen, die dem Inhalt der ursprünglichen Bestimmung in ihrem Sinngehalt am nächsten kommt.

12.2. Anwendbares Recht und Gerichtsstand

Die AVV und alle Streitigkeiten oder Ansprüche, die sich aus ihr oder in Verbindung mit ihr oder ihrem Gegenstand oder ihrem Zustandekommen ergeben (einschliesslich ausservertraglicher Streitigkeiten oder Ansprüche), unterliegen dem schweizerischen Recht und sind nach diesem auszulegen.

Im Falle von Meinungsverschiedenheiten im Zusammenhang mit dieser AVV oder seinen Anhängen verpflichten sich die Parteien, nach Treu und Glauben eine einvernehmliche Regelung herbeizuführen. Wenn trotz der Bemühungen der Parteien keine Einigung auf gütlichem Wege zustande kommt, ist der Gerichtsstand für alle Streitigkeiten, Meinungsverschiedenheiten oder Ansprüche aus oder im Zusammenhang mit dem Vertragsverhältnis zwischen Frontify und dem Kunden, einschliesslich dessen Gültigkeit, Ungültigkeit, Verletzung oder Auflösung, St. Gallen, Schweiz.