Auftragsverarbeitungs-vereinbarung

Frontify AG, Version: April 2023

1. Präambel

Im Rahmen der Erbringung der Frontify-Dienste gemäss dem Vertrag zwischen Frontify und dem Kunden kann Frontify personenbezogene Daten im Auftrag des Kunden verarbeiten. Die Parteien verpflichten sich, die Bedingungen dieser Auftragsverarbeitungsvereinbarung einschließlich ihrer Anhänge (zusammen als "AVV" bezeichnet) einzuhalten. Der AVV bildet mit Unterzeichnung des Vertrages automatisch einen integralen Bestandteil des Vertrages durch Verweis. Im Falle eines Widerspruchs zwischen den Bestimmungen der AVV und den Bestimmungen des Vertrages sind die Bestimmungen der AVV massgeblich.

Die Parteien erkennen an und vereinbaren, dass der Kunde als Verantwortlicher oder Auftragsverarbeiter in Bezug auf personenbezogene Daten seines Personals, seiner Dienstleister, Lieferanten und/oder anderer vom Kunden einbezogener Dritter ("personenbezogene Daten des Kunden") gelten kann. Infolgedessen ist festzuhalten,

• dass Frontify ein Auftragsverarbeiter ist, wenn der Kunde als Verantwortlicher gilt,
• und dass Frontify ein Unterauftragsverarbeiter ist, wenn der Kunde als Auftragsverarbeiter gilt.

Diese AVV spiegelt die Verpflichtung der Parteien wider, die Datenschutzgesetze in Bezug auf die Verarbeitung personenbezogener Daten des Kunden im Rahmen des Vertrages einzuhalten. Die Kategorien der personenbezogenen Daten und die Kategorien der betroffenen Personen, die im Rahmen dieser AVV verarbeitet werden, sowie der Gegenstand, die Dauer und die Art der Verarbeitung sind in Anhang A (Gegenstand und Einzelheiten der Verarbeitungstätigkeiten) näher beschrieben.

2. Begriffsbestimmungen

Sofern in dieser AVV oder im Vertrag nicht anders definiert, haben alle in diesem Abschnitt 2 aufgelisteten Begriffe die angegebene Bedeutung.

"Antrag der betroffenen Person" ist ein Gesuch, das von einer betroffenen Person gestellt wird, um das Recht der betroffenen Person auf Zugang, Berichtigung, Löschung, Übertragung oder Portierung personenbezogener Daten des Kunden oder auf Einschränkung der Verarbeitung personenbezogener Daten des Kunden gemäss Kapitel III der DSGVO auszuüben.

"Auftragsverarbeiter" bezeichnet eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

"Betroffene Person" ist die natürliche Person, auf die sich die personenbezogenen Daten beziehen.

"Datenschutzgesetz des Vereinigten Königreichs" bezeichnet den Data Protection Act 2018 und die United Kingdom General Data Protection Regulation.

"Datenschutzgesetze" bezeichnet alle Gesetze und Vorschriften, die auf die Verarbeitung personenbezogener Daten im Rahmen des Vertrages anwendbar sind, einschließlich, aber nicht beschränkt auf die DSGVO, die Gesetze des EWR und seiner Mitgliedsstaaten, sowie die Gesetze der Schweiz, der Vereinigten Staaten von Amerika und des Vereinigten Königreichs.

"Datum des Inkrafttretens" bedeutet das Datum des Inkrafttretens des Vertrages.

"DSGVO" bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung).

"EWR" bezeichnet den Europäischen Wirtschaftsraum.

"Frontify" bezeichnet die Frontify AG.

"Frontify-Dienste" bezeichnet die von Frontify angebotenen und vom Kunden im Rahmen des Vertrages erworbenen Produkte und Dienstleistungen, sowohl aktuell als auch in Zukunft, einschließlich des Rechts und/oder der Lizenz zur Nutzung der Frontify-Plattform.

"Frontify-Plattform" bezeichnet die Software, die Frontify dem Kunden zur Nutzung über das Internet zur Verfügung stellt, namentlich die von Frontify angebotene webbasierte All-in-One Markenmanagement-SaaS-Lösung, die mobile App und die Desktop-App.

"Kunde" umfasst, ausschliesslich für die Zwecke dieser AVV und sofern nicht anders vereinbart, den Kunden von Frontify im Rahmen des Vertrages, einschliesslich der verbundenen Unternehmen des Kunden.

"Kundendaten" sind Daten, einschließlich personenbezogener Daten des Kunden, die vom Kunden, seinen verbundenen Unternehmen oder seiner Nutzer über die Frontify-Dienste übermittelt, gespeichert, gesendet oder empfangen werden.

"Laufzeit" bezeichnet den Zeitraum ab dem Datum des Inkrafttretens bis zur Beendigung der Erbringung der Frontify-Dienste, gegebenenfalls einschliesslich eines Zeitraums, in dem die Erbringung der Frontify-Dienste ausgesetzt wurde, und eines Zeitraums nach der Beendigung, in dem die Frontify-Dienste zu Übergangszwecken weiter erbracht werden.

"Nutzer" bezeichnet jede natürliche Person, die berechtigt ist, die Frontify-Dienste gemäss dem Vertrag zu nutzen.

"Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare betroffene Person beziehen; als identifizierbar wird eine betroffene Person angesehen, die direkt oder indirekt identifiziert werden kann.

"Produkte und Dienste von Drittanbietern" sind unabhängige Produkte und Dienste von Drittanbietern, die nicht direkt durch Frontify lizenziert werden, einschliesslich, jedoch nicht beschränkt auf webbasierte, mobile, offline oder andere Softwarefunktionen, die mit den Frontify-Diensten interagieren, die vom Kunden oder einem Drittanbieter bereitgestellt werden und die der Kunde einbinden kann, um die Nutzung und Funktionalität der Frontify-Dienste zu erweitern.

"Schweizer Datenschutzgesetz" bedeutet das Bundesgesetz über den Datenschutz (SR 235.1).

"Standardvertragsklauseln" oder "SCC" bezeichnet den Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung Personenbezogener Daten in Drittländer gemäss der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates.

"Technische und organisatorische Massnahmen" oder "TOMs" bezeichnet eine Reihe von Regeln, Leitlinien, Richtlinien und Verfahren, die sicherstellen sollen, dass alle Nutzer, Server, Netzwerke und Prozesse innerhalb einer Organisation das angemessene Sicherheitsniveau und die Datenschutzstandards gemäss den Datenschutzgesetzen erfüllen.

"Unterauftragsverarbeiter" bezeichnet jeden Dritten, der von oder im Namen von Frontify beauftragt wird, personenbezogene Daten des Kunden im Rahmen der Erbringung der Frontify-Dienste zu verarbeiten. Dies schliesst keine Hilfsdienste von beauftragten Dritten ein, die Frontify z.B. als Telekommunikationsdienste, Post-/Transportdienste und andere Massnahmen zur Gewährleistung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungssystemen nutzt. Frontify ist jedoch verpflichtet, auch bei ausgelagerten Nebenleistungen angemessene und rechtskonforme vertragliche Vereinbarungen sowie Kontrollmassnahmen zur Gewährleistung des Datenschutzes und der Datensicherheit der Kundendaten zu treffen.

"Verantwortlicher" bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt.

"Verarbeitung" oder "Verarbeitungstätigkeit" bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

"Verbundenes Unternehmen" bedeutet jedes Unternehmen, das direkt oder indirekt das betreffende Unternehmen kontrolliert, von ihm kontrolliert wird oder unter gemeinsamer Kontrolle mit ihm steht. "Kontrolle" im Sinne dieser Definition bedeutet das direkte oder indirekte Eigentum an oder die Macht über mehr als 50 % der stimmberechtigten Anteile des betreffenden Unternehmens oder die Möglichkeit, die Finanz- und Geschäftspolitik zu bestimmen oder die Geschäftsführung des betreffenden Unternehmens zu ernennen.

"Vertrag" bezeichnet den Frontify-Lizenzvertrag, das Bestellformular oder einen anderen schriftlichen oder elektronischen Vertrag, der zwischen Frontify und dem Kunden für die Nutzung der Frontify-Dienste geschlossen wurde, einschließlich aller Anhänge, insbesondere, aber nicht beschränkt auf das Angebot, die AGB, das Service Level Agreement und jedes andere zusätzliche Dokument, das das Vertragsverhältnis zwischen Frontify und dem Kunden regelt.

3. Durchführung und Dauer

3.1. Einführung

Diese AVV ist integraler Bestandteil des Vertrages und muss nicht separat unterzeichnet werden. Jede Partei schließt diese AVV in ihrem eigenen Namen und, soweit nach den Datenschutzgesetzen erforderlich und/oder zulässig, im Namen und im Auftrag ihrer verbundenen Unternehmen ab.

Diese AVV wird ab dem Datum des Inkrafttretens rechtsverbindlich und ersetzt alle zuvor von den Parteien vereinbarten Bestimmungen zum Datenschutz, zur Datenverarbeitung und/oder zur Datensicherheit. Diese AVV endet automatisch mit der Beendigung des Vertrages oder mit einer früheren Beendigung gemäss den hierin festgelegten Bedingungen.

3.2. Bestandteile dieser AVV

Diese AVV besteht aus vier (4) Teilen:

• Der Hauptteil der AVV;
• Anhang A (Gegenstand und Einzelheiten der Verarbeitungstätigkeiten);
• Anhang B (Liste der Unterauftragsverarbeiter);
• Anhang C (Technische und organisatorische Massnahmen)

4. Rollen und Einhaltung von Vorschriften

4.1. Verantwortlicher und Auftragsverarbeiter

In Übereinstimmung mit ihren jeweiligen Rollen und unter Einhaltung der Datenschutzgesetze erkennen der Kunde in seiner Eigenschaft als Verantwortlicher oder Auftragsverarbeiter und Frontify in seiner Eigenschaft als Auftragsverarbeiter oder Unterauftragsverarbeiter an und vereinbaren, dass:

1. der Gegenstand und die Einzelheiten der Verarbeitungstätigkeit in Anhang A beschrieben sind;
2. jede Partei den Verpflichtungen aus den Datenschutzgesetzen in Bezug auf die Verarbeitung personenbezogener Daten des Kunden nachkommen wird.

4.2. Ermächtigung durch eine Drittpartei in der Funktion des Verantwortlichen

Soweit der Kunde ein Auftragsverarbeiter ist, gewährleistet der Kunde, dass die Anweisungen und Handlungen des Kunden in Bezug auf die personenbezogenen Daten des Kunden, einschliesslich der Ernennung von Frontify als Unterauftragsverarbeiter, von dem jeweiligen für die Verarbeitung Verantwortlichen ordnungsgemäss genehmigt worden sind.

5. Auftragsverarbeitung

5.1. Umfang der Verarbeitung

Mit dem Abschluss dieser AVV vereinbaren die Parteien, dass Frontify personenbezogene Daten des Kunden nur im Zusammenhang mit der Erbringung der Frontify-Dienste und/oder auf dokumentierte Anweisung des Kunden verarbeitet.

Die Zwecke für die Verarbeitung sind in Anhang A aufgeführt, und Frontify wird sich ausschliesslich auf diese verlassen, es sei denn, die Verarbeitung ist durch anwendbare Gesetze vorgeschrieben oder wird von beiden Parteien anderweitig schriftlich vereinbart. Frontify wird die personenbezogenen Daten des Kunden nicht zu Werbezwecken verarbeiten. Wenn und soweit das anwendbare Recht eine weitere Verarbeitung der personenbezogenen Daten des Kunden erfordert, informiert Frontify den Kunden unverzüglich per E-Mail an die im Vertrag angegebene E-Mail-Adresse für rechtliche Mitteilungen und, sofern keine E-Mail-Adresse im Vertrag angegeben wurde, an eine oder mehrere hinterlegte E-Mail-Adressen von Kontaktpersonen des Kunden in den Aufzeichnungen von Frontify, es sei denn, Frontify ist nach dem anwendbaren Recht daran gehindert, dies zu tun.

Frontify benachrichtigt den Kunden, wenn Frontify der Ansicht ist, dass die dokumentierten Anweisungen des Kunden gegen Datenschutzgesetze verstossen, und ist berechtigt, die Ausführung der betreffenden Anweisung auszusetzen, bis der Kunde eine datenschutzkonforme Anweisung erteilt. Verstösst eine Anweisung des Kunden gegen Datenschutzgesetze, so hat der Kunde Frontify schadlos zu halten.

5.2. Rechtmässigkeit der Verarbeitung

Der Kunde verpflichtet sich, bei der Nutzung der Frontify-Dienste und der Erteilung von Anweisungen die personenbezogenen Daten des Kunden in Übereinstimmung mit den Anforderungen der Datenschutzgesetze zu verwenden und zu verarbeiten. Der Kunde trägt die alleinige Verantwortung für die Richtigkeit, Qualität und Rechtmässigkeit der persönlichen Daten des Kunden und dafür, wie der Kunde die persönlichen Daten des Kunden erworben hat.

5.3. Löschung oder Rückgabe von persönlichen Daten des Kunden

Während der Laufzeit ermöglicht Frontify dem Kunden und/oder den Nutzern, Kundendaten über die Funktionalitäten der Frontify-Dienste zu löschen. Wenn der Kunde oder ein Benutzer Kundendaten löscht, stellt dies eine Anweisung an Frontify dar, die betreffenden Kundendaten in Übereinstimmung mit dem geltenden Recht aus den Systemen von Frontify zu entfernen.

Nach Beendigung des Vertrags und auf schriftliche Anfrage stellt Frontify dem Kunden eine Kopie der Kundendaten auf einem handelsüblichen Datenträger oder durch elektronische Übertragung in einem von den Parteien vereinbarten Format zur Verfügung. Neunzig (90) Tage nach dem Datum des Inkrafttretens der Beendigung des Vertrages oder auf Verlangen des Kunden auch schon vorher wird Frontify alle Kundendaten löschen, es sei denn, dies ist aufgrund gesetzlicher Aufbewahrungspflichten nicht möglich.

Frontify kann Kundendaten aufbewahren, die (a) in einem archivierten Computersystem-Backup in Übereinstimmung mit Sicherheits- und/oder Disaster-Recovery-Verfahren enthalten sind; (b) in latenten Daten enthalten sind, einschließlich gelöschter Dateien und anderer nicht logischer Datentypen wie Speicherabzüge, Auslagerungsdateien, temporäre Dateien, Drucker-Spool-Dateien und Metadaten, die ohne den Einsatz spezieller Tools und Techniken nicht allgemein abrufbar oder zugänglich sind; (c) zu Zwecken der Einhaltung gesetzlicher Vorschriften, der Archivierung oder der Aufbewahrung von Aufzeichnungen in Übereinstimmung mit geltendem Recht erstellt werden; oder (d) zu Zwecken der Bestätigung der Einhaltung dieser AVV aufbewahrt werden, jeweils vorbehaltlich der Vernichtung dieser Kundendaten zu gegebener Zeit und der Unzugänglichkeit dieser Kundendaten durch Frontify und derer Angestellten im Rahmen des normalen Geschäftsbetriebs, und ferner, dass diese Kundendaten in jedem Fall den Bestimmungen der AVV unterliegen.

6. Unterauftragsverarbeitung

6.1. Beauftragung von Unterauftragsverarbeitern

Der Kunde ist generell damit einverstanden, dass Frontify Unterauftragsverarbeiter einsetzt, um seine vertraglichen Verpflichtungen aus dem Vertrag zu erfüllen oder bestimmte Dienstleistungen in seinem Namen zu erbringen. Daher genehmigt der Kunde die Beauftragung von verbundenen Unternehmen von Frontify und von Dritten als Unterauftragsverarbeiter, sofern die in diesem und Abschnitt 10 genannten Bedingungen eingehalten werden.

Frontify schliesst mit dem jeweiligen Unterauftragsverarbeiter eine schriftliche Vereinbarung ab, die Datenschutzverpflichtungen enthält, die im Wesentlichen denen entsprechen, die zwischen den Parteien im Rahmen dieser AVV vereinbart wurden. Die Verpflichtungen gelten soweit sie auf die Art der vom Unterauftragsverarbeiter erbrachten Dienstleistungen zutreffen.

Frontify stellt sicher, dass der Unterauftragsverarbeiter nur in dem Umfang auf Kundendaten zugreift und diese verarbeitet, wie es für die Erfüllung der an ihn übertragenen Verpflichtungen gemäss dem Vertrag, einschließlich dieser AVV, erforderlich ist.

Frontify haftet für alle an die Unterauftragsverarbeiter übertragenen Verpflichtungen sowie für alle Handlungen und Unterlassungen der Unterauftragsverarbeiter in demselben Umfang, in dem Frontify haften würde, wenn Frontify die Dienstleistungen jedes Unterauftragsverarbeiters gemäss den Bedingungen dieser AVV direkt erbringen würde. Sämtliche Haftungsbeschränkungen, die im Vertrag oder dieser AVV festgelegt sind, gelten auch für Handlungen und Unterlassungen der Unterauftragsverarbeiter.

6.2. Liste der Unterauftragsverarbeiter und Hinzuziehung neuer Unterauftragsverarbeiter

Die derzeitigen Unterauftragsverarbeiter von Frontify sind in Anlage B ("Liste der Unterauftragsverarbeiter") aufgeführt. Wenn ein neuer Unterauftragsverarbeiter beauftragt wird, aktualisiert Frontify die Liste der Unterauftragsverarbeiter mindestens vierzehn (14) Werktage bevor der Unterauftragsverarbeiter Zugang zu den personenbezogenen Daten des Kunden erhält. Um dem Kunden die Möglichkeit zu geben, per E-Mail über solche Aktualisierungen der Liste der Unterauftragsverarbeiter informiert zu werden, kann sich der Kunde für solche Benachrichtigungen registrieren, indem er eine E-Mail an legal@frontify.com schreibt.

Der Kunde kann gegen jeden neuen Unterauftragsverarbeiter aus angemessenen und berechtigten Gründen Einspruch erheben (z. B. wenn die Einschaltung des neuen Unterauftragsverarbeiters gegen Datenschutzgesetze verstossen könnte). Falls der Kunde einem neuen Unterauftragsverarbeiter widerspricht, muss er dies innerhalb von 10 Werktagen schriftlich an legal@frontify.com mitteilen und die spezifischen Bedenken des Kunden bezüglich des neuen Unterauftragsverarbeiters darlegen, um Frontify die Möglichkeit zu geben, diese Bedenken zu berücksichtigen. Frontify wird sich in wirtschaftlich angemessener Weise bemühen, alle berechtigten Bedenken zu analysieren und kann nach eigenem Ermessen: (a) entscheiden, den neuen Unterauftragsverarbeiter nicht zu ernennen und/oder einen alternativen Unterauftragsverarbeiter vorzuschlagen; (b) Schritte unternehmen, um die spezifischen Bedenken des Kunden zu beheben oder zu entschärfen, und die schriftliche Zustimmung des Kunden zur Nutzung des neuen Unterauftragsverarbeiters einholen; oder (c) dem Kunden die Frontify-Dienste ohne die vom neuen Unterauftragsverarbeiter bereitgestellten Dienste oder Funktionen zur Verfügung stellen. Wenn Frontify nicht in der Lage ist oder nach vernünftigem Ermessen feststellt, dass es wirtschaftlich unzumutbar ist, eine der vorgenannten Möglichkeiten zu nutzen, kann der Kunde die betroffenen Teile der Frontify-Dienste durch schriftliche Mitteilung innerhalb von dreissig (30) Tagen ausserordentlich kündigen.

Frontify erstattet dem Kunden anteilig alle im Voraus gezahlten Gebühren für die verbleibende Vertragslaufzeit nach dem wirksamen Kündigungsdatum in Bezug auf die gekündigten Frontify-Dienste, ohne dem Kunden eine Strafe für diese Kündigung aufzuerlegen.

7. Betroffene Personen

7.1. Zugang zu persönlichen Daten des Kunden

Während der geltenden Laufzeit ermöglicht Frontify dem Kunden, auf Kundendaten zuzugreifen, sie zu korrigieren, einzuschränken, zu löschen und zu exportieren, und zwar in einer Weise, die mit den Funktionen der Frontify-Dienste kompatibel ist.

7.2. Anträge einer betroffenen Person

Falls ein Antrag einer betroffenen Person im Zusammenhang mit der Verarbeitung personenbezogener Daten des Kunden durch Frontify direkt an Frontify gerichtet wird, wird Frontify den Kunden entweder unverzüglich informieren und ihm die Einzelheiten des Antrags mitteilen, soweit dies rechtlich zulässig ist, oder die betroffene Person auffordern, den Antrag direkt an den Kunden zu richten. Der Kunde ist für die Beantwortung eines Antrags der betroffenen Person verantwortlich, gegebenenfalls auch durch Nutzung der Funktionen der Frontify-Dienste.

7.3 Unterstützung durch Frontify

Frontify stellt sicher, dass es wirtschaftlich angemessene Anstrengungen unternimmt, um den Kunden bei der Erfüllung jeglicher Verpflichtung zur Beantwortung von Anträgen der betroffenen Personen zu unterstützen, einschliesslich solcher, die den Kunden dazu verpflichten, auf Anträge einer betroffenen Person zu antworten.

8. Sicherheit

8.1. Technische und organisatorische Massnahmen ("TOMs")

Frontify stellt sicher, dass die durchgeführten Verarbeitungstätigkeiten den durch die Datenschutzgesetze auferlegten Verpflichtungen in Bezug auf die Sicherheit der personenbezogenen Daten des Kunden entsprechen. Insbesondere wird Frontify unter Berücksichtigung des Umfangs und des Zwecks der Verarbeitung personenbezogener Daten des Kunden geeignete technische und organisatorische Massnahmen umsetzen und aufrechterhalten, um ein dem Risiko angemessenes Sicherheitsniveau sowie die Vertraulichkeit und Integrität der personenbezogenen Daten des Kunden zu gewährleisten. Die TOMs sind integraler Bestandteil dieser AVV und sind als Anlage C beigefügt.

Die TOMs können sich im Laufe der Zeit ändern oder ersetzt werden. Frontify stellt jedoch sicher, dass eine solche Änderung oder ein solcher Ersatz niemals das angemessene Sicherheitsniveau für die personenbezogenen Daten des Kunden beeinträchtigt.

8.2. Überprüfung und Berichte

Auf Anfrage des Kunden und unter der Voraussetzung, dass der Kunde zur Geheimhaltung verpflichtet ist, stellt Frontify dem Kunden (oder einem unabhängigen Drittprüfer des Kunden) Informationen über die Einhaltung der in dieser AVV dargelegten Verpflichtungen von Frontify zur Verfügung. Frontify beauftragt externe Prüfer mit der Überprüfung der Angemessenheit seiner Sicherheitsmassnahmen. Diese Überprüfungen werden (a) mindestens einmal jährlich auf der Grundlage der ISO 27001-Norm oder alternativer Normen, die der ISO 27001-Norm im Wesentlichen gleichwertig sind, durchgeführt; (b) von unabhängigen Sicherheitsexperten nach Wahl und auf Kosten von Frontify durchgeführt; und (c) führen zur Erstellung eines Prüfungsberichts ("Bericht"), welcher als vertrauliche Information von Frontify gilt. Auf schriftliche Anfrage des Kunden und unter der Voraussetzung, dass der Kunde zur Geheimhaltung verpflichtet ist, stellt Frontify eine Kopie des Berichts zur Verfügung.

Wenn der Kunde trotz des Vorstehenden eine zusätzliche Überprüfung der Verfahren von Frontify in Bezug auf die personenbezogenen Daten des Kunden durchführen möchte, muss der Kunde Frontify einen entsprechenden Antrag stellen, und Frontify kann diesem Antrag zustimmen, sofern: a) eine solche Überprüfung gemäss Datenschutzgesetz erforderlich ist; und b) eine ähnliche Überprüfung nicht bereits vor weniger als zwölf (12) Monaten durchgeführt wurde, es sei denn, es liegen Anzeichen für eine Nichteinhaltung vor und/oder die Überprüfung wird von einer Aufsichtsbehörde oder einer anderen vergleichbaren Regulierungsbehörde, die für die Durchsetzung von anwendbarem Recht zuständig ist, verlangt. Der Kunde erstattet Frontify die mit einer solchen Überprüfung verbundenen Kosten zu den jeweils gültigen Sätzen von Frontify, die dem Kunden auf Anfrage zur Verfügung gestellt werden. Vor Beginn einer solchen Überprüfung vereinbaren der Kunde und Frontify einvernehmlich den Umfang, den Zeitpunkt und die Dauer sowie die Höhe der vom Kunden zu tragenden Kostenerstattung. Alle Erstattungssätze müssen unter Berücksichtigung der von Frontify aufgewendeten Ressourcen angemessen sein. Der Kunde informiert Frontify unverzüglich über alle während einer Überprüfung festgestellten Verstösse, und Frontify unternimmt wirtschaftlich angemessene Anstrengungen, um alle von Frontify akzeptierten Verstösse zu beheben. Die Parteien verpflichten sich die Informationen im Zusammenhang mit einer solchen Überprüfung streng vertraulich zu behandeln.

8.3. Vertraulichkeit und Schulungen

Frontify stellt sicher, dass seine Mitarbeiter und Dienstleister, die zur Verarbeitung von Kundendaten berechtigt sind, zur Geheimhaltung verpflichtet sind. Des Weiteren, führt Frontify regelmässig Mitarbeiterschulungen zum Thema Datenschutz, Vertraulichkeit und Datensicherheit durch.

8.4. Management von Sicherheitsvorfällen und Benachrichtigung

Frontify unterhält Richtlinien und Verfahren für das Management von Sicherheitsvorfällen. Frontify benachrichtigt den Kunden unverzüglich, in jedem Fall aber innerhalb von 48 Stunden nach Bekanntwerden, über jede Verletzung in Bezug auf die personenbezogenen Daten des Kunden, die eine Benachrichtigung einer Aufsichtsbehörde, einer betroffenen Person oder des Kunden gemäss Datenschutzgesetz erforderlich machen könnte ("Sicherheitsvorfall"). Die Benachrichtigung über einen Sicherheitsvorfall erfolgt per E-Mail an die im Vertrag angegebene E-Mail-Adresse für rechtliche Mitteilungen und, sofern keine E-Mail-Adresse im Vertrag angegeben wurde, an eine oder mehrere hinterlegte E-Mail-Adressen von Kontaktpersonen des Kunden in den Aufzeichnungen von Frontify.

Die Parteien vereinbaren, dass die Verpflichtung von Frontify, den Kunden über einen Sicherheitsvorfall zu benachrichtigen, nicht als Anerkenntnis eines Verschuldens oder einer Haftung von Frontify in Bezug auf den Sicherheitsvorfall angesehen wird. Frontify wird in wirtschaftlich vertretbarem Umfang mit dem Kunden zusammenarbeiten, um die Ursache eines solchen Sicherheitsvorfalls zu ermitteln, und, sofern die Behebung im Einflussbereich von Frontify liegt, angemessene Schritte zur Behebung dieser Ursache unternehmen. Sofern nicht durch Datenschutzgesetze vorgeschrieben, gelten die hierin enthaltenen Verpflichtungen nicht für Vorfälle, die durch den Kunden, Nutzer oder Produkte und Dienste von Drittanbietern verursacht werden.

9. Haftungsbegrenzung

Die Gesamthaftung jeder Partei und ihrer verbundenen Unternehmen, die sich aus dieser AVV ergibt oder mit ihr in Zusammenhang steht, ob aus vertraglicher oder ausservertraglicher Haftung oder einer anderen Haftungstheorie, unterliegt den im Vertrag vereinbarten Haftungsbeschränkungen.

10. Datenübertragung

10.1. Allgemein

Die personenbezogenen Daten des Kunden werden innerhalb des EWR oder in einem Drittland verarbeitet, für das die Europäische Kommission einen Angemessenheitsbeschluss im Sinne von Art. 45(1) der DSGVO (im Folgenden "sicheres Drittland“) erlassen hat. Sofern spezifische Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten des Kunden an einen Ort ausserhalb eines sicheren Drittlandes erfordern, vereinbaren die Parteien hiermit, dass Frontify die Einhaltung der Bestimmungen von Kapitel V der DSGVO durch die Implementierung der in Art. 46(2) DSGVO geforderten Massnahmen gewährleistet. Solche Massnahmen können unter anderem die Übermittlung personenbezogener Daten des Kunden (a) an einen Unterauftragsverarbeiter, dem verbindliche interne Datenschutzvorschriften gemäss Art. 47 DSGVO genehmigt wurden, oder (b) an einen Unterauftragsverarbeiter, der die Standardvertragsklauseln unterzeichnet hat, umfassen. Zum Datum des Inkrafttretens hat Frontify das anwendbare Modul der Standardvertragsklauseln mit allen seinen derzeitigen Unterauftragsverarbeitern, die sich ausserhalb eines sicheren Drittlandes befinden, unterzeichnet.

Sollte ein Beschluss der Europäischen Kommission, der die Übermittlung personenbezogener Daten ausserhalb des EWR genehmigt, für ungültig erklärt werden oder eine Aufsichtsbehörde die Aussetzung der Übermittlung personenbezogener Daten verlangt, auch solche Übermittlungen basierend auf den Standardvertragsklauseln, wird Frontify mit dem Kunden zusammenarbeiten, um einen alternativen Datenübertragungsmechanismus zu implementieren, der es dem Kunden ermöglicht, die Frontify-Dienste unter Einhaltung der Datenschutzgesetze weiterhin zu nutzen.

10.2. Übermittlung nach dem Datenschutzgesetz des Vereinigten Königreichs

Soweit das Datenschutzgesetz des Vereinigten Königreichs auf personenbezogene Daten des Kunden anwendbar ist und soweit es das Datenschutzgesetz des Vereinigten Königreichs erfordert, wird Frontify personenbezogene Daten des Kunden nur dann an einen Ort ausserhalb eines sicheren Drittlandes übermitteln, sofern die anwendbaren Massnahmen gemäss dem Datenschutzgesetz des Vereinigten Königreichs und den Anweisungen des Information Commissioner des Vereinigten Königreichs umgesetzt werden.

10.3. Übermittlung nach dem Schweizer Datenschutzgesetz

Soweit das Schweizer Datenschutzgesetz auf personenbezogene Daten des Kunden anwendbar ist und soweit es das Schweizer Datenschutzgesetz erfordert, wird Frontify personenbezogene Daten des Kunden nur dann an einen Ort ausserhalb eines sicheren Drittlandes übermitteln, sofern die anwendbaren Massnahmen gemäss dem Schweizer Datenschutzgesetz und den Anweisungen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) umgesetzt werden.

11. Zusammenarbeit

11.1. Datenschutz-Folgenabschätzung

Auf Anfrage und sofern durch Datenschutzgesetze vorgeschrieben, unterstützt Frontify den Kunden in angemessener Weise bei der Durchführung von Datenschutz-Folgenabschätzungen und/oder bei vorgängigen Konsultationen mit Aufsichtsbehörden oder anderen zuständigen Datenschutzbehörden, solange der Kunde nicht anderweitig Zugang zu den relevanten Informationen hat.

11.2. Staatliche Anfragen

Wenn Frontify gezwungen ist, personenbezogene Daten des Kunden an Strafverfolgungsbehörden oder andere staatliche Stellen herauszugeben, wird Frontify den Kunden, soweit gesetzlich zulässig, in angemessener Weise informieren, um dem Kunden die Möglichkeit zu geben, geeignete Rechtsmittel gegen solche Verfügungen einzulegen.

12. Schlussbestimmungen

12.1. Salvatorische Klausel

Sollten einzelne Bestimmungen dieser AVV unwirksam oder unvollständig sein oder sollte die Erfüllung unmöglich sein, so berührt dies die Wirksamkeit der übrigen Bestimmungen dieser AVV nicht. Ungültige Bestimmungen sind durch eine gültige und zulässige Bestimmung zu ersetzen, die dem Inhalt der ursprünglichen Bestimmung in ihrem Sinngehalt am nächsten kommt.

12.2. Anwendbares Recht und Gerichtsstand

Die AVV und alle Streitigkeiten oder Ansprüche, die sich aus ihr oder in Verbindung mit ihr oder ihrem Gegenstand oder ihrem Zustandekommen ergeben (einschliesslich ausservertraglicher Streitigkeiten oder Ansprüche), unterliegen dem schweizerischen Recht und sind nach diesem auszulegen.

Im Falle von Meinungsverschiedenheiten im Zusammenhang mit dieser AVV oder seinen Anhängen verpflichten sich die Parteien, nach Treu und Glauben eine einvernehmliche Regelung herbeizuführen. Wenn trotz der Bemühungen der Parteien keine Einigung auf gütlichem Wege zustande kommt, ist der Gerichtsstand für alle Streitigkeiten, Meinungsverschiedenheiten oder Ansprüche aus oder im ZusaWenn Frontify gezwungen ist, personenbezogene Daten des Kunden an Strafverfolgungsbehörden oder andere staatliche Stellen herauszugeben, wird Frontify den Kunden, soweit gesetzlich zulässig, in angemessener Weise informieren, um dem Kunden die Möglichkeit zu geben, geeignete Rechtsmittel gegen solche Verfügungen einzulegen.mmenhang mit dem Vertragsverhältnis zwischen Frontify und dem Kunden, einschliesslich dessen Gültigkeit, Ungültigkeit, Verletzung oder Auflösung, St. Gallen, Schweiz.