GoDaddy ZUSATZ – DATENVERARBEITUNG

1.2. „Verantwortlicher“ bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten des Kunden im Rahmen der Vereinbarung entscheidet.

1.3 „Personenbezogene Daten des Kunden“ sind alle personenbezogenen Daten (wie unten definiert), die von GoDaddy im Namen des Kunden in Verbindung mit der Nutzung der Services durch den Kunden verarbeitet werden. Zu den personenbezogenen Daten des Kunden gehören keine Daten von GoDaddy.

1.4 „Datenschutzgesetz“ bezeichnet alle Gesetze oder Vorschriften, die für die Verarbeitung personenbezogener Daten des Kunden im Rahmen dieser Vereinbarung gelten.

1.5 „Betroffene Person“ bezeichnet eine identifizierte oder identifizierbare natürliche Person, auf die sich bestimmte personenbezogene Daten beziehen.

1.6 „De-Identifizierte Daten“ bezeichnet Daten, die nach vernünftigem Ermessen eine bestimmte betroffene Person nicht identifizieren, nicht mit ihr in Verbindung bringen, nicht beschreiben, nicht mit ihr in Verbindung gebracht werden können und nicht direkt oder indirekt mit ihr verknüpft werden können.

1.7 „GoDaddy-Daten“ bezeichnet (a) alle Informationen, die sich auf das Geschäft von GoDaddy und die Erbringung der Dienstleistungen beziehen, insbesondere personenbezogene Daten über den Kunden und seine Mitarbeiter oder Vertreter, (b) andere Daten, die sich auf das Konto des Kunden, die Transaktionshistorie, die Nutzung der Dienstleistungen und die Identitätsüberprüfung beziehen, und (c) vorbehaltlich etwaiger Beschränkungen durch geltende Datenschutzgesetze, de-identifizierte Daten.

1.8 „Personenbezogene Daten“ bezeichnet Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, einschließlich aller Informationen, die in den geltenden Datenschutzgesetzen als personenbezogene Daten, persönliche Informationen oder persönlich identifizierbare Informationen definiert sind. Personenbezogene Daten umfassen keine de-identifizierten Daten.

1.10 „Auftragsverarbeiter“ bezeichnet eine natürliche oder juristische Person, Behörde, Einrichtung oder Stelle, die personenbezogene Daten des Kunden im Auftrag eines Verantwortlichen gemäß der Vereinbarung verarbeitet.

1.9 „Verarbeitung“ bezeichnet jeden Vorgang, der mit den personenbezogenen Daten des Kunden durchgeführt wird, wie z. B. das Erheben, Verwenden, Speichern, Weitergeben, Analysieren, Löschen oder Ändern, unabhängig davon, ob dies mit manuellen oder automatischen Mitteln geschieht.

1.11 „Sensible personenbezogene Daten“ bezeichnet (a) Sozialversicherungsnummer, Reisepassnummer, Führerscheinnummer oder eine ähnliche Kennung; (b) Kredit- oder Debitkarteninformationen, Finanzinformationen, Bankkontonummern oder Kontopasswörter; (c) beschäftigungsbezogene, finanzielle, genetische, biometrische oder Gesundheitsinformationen; (d) Informationen zur Herkunft, Ethnie, Religionszugehörigkeit, Gewerkschaftsmitgliedschaft, zum Sexualleben oder zur sexuellen Orientierung; (e) Kontopasswörter, Mädchenname der Mutter, Geburtsdatum und andere ähnliche Informationen, die zur Authentifizierung der Identität eines Benutzers verwendet werden; (f) Vorstrafen; (g) biometrische Daten, die zur Identifizierung einer bestimmten Person verwendet werden (z. B. Fingerabdrücke); oder (h) alle anderen Informationen oder Kombinationen von Informationen, die unter die Definitionen der "besonderen Kategorien von Daten" gemäß den geltenden Datenschutzgesetzen fallen.

1.12 „Dienste“ bezeichnet die Produkte oder Dienstleistungen, deren Erbringung GoDaddy gemäß der Vereinbarung zugestimmt hat und die die Verarbeitung personenbezogener Daten des Kunden beinhalten.

1.13 „Unterauftragsverarbeiter“ bezeichnet jede natürliche oder juristische Person, Behörde, Einrichtung oder Stelle, mit der GoDaddy einen Vertrag über die Verarbeitung personenbezogener Daten des Kunden abschließt.

1.14 „Übermittlung“ bezeichnet (a) die Übermittlung personenbezogener Daten des Kunden vom Verantwortlichen an den Auftragsverarbeiter, sei es durch physische Übermittlung oder durch Gewährung des Zugriffs auf personenbezogene Daten des Kunden, die sich im Besitz des Verantwortlichen befinden oder anderweitig von diesem kontrolliert werden, oder (b) die Weiterübermittlung personenbezogener Daten des Kunden von einem Auftragsverarbeiter an einen Unterauftragsverarbeiter (und jede nachfolgende Weiterübermittlung durch einen Unterauftragsverarbeiter an einen anderen Unterauftragsverarbeiter).

4.2 Sofern dies nicht gesetzlich verboten ist, wird GoDaddy den Kunden unverzüglich benachrichtigen, wenn es ein rechtliches Verfahren erhält, das GoDaddy verpflichtet, Zugang zu den personenbezogenen Daten des Kunden zu gewähren oder diese offenzulegen.

4.3 Sofern nicht anderweitig gesetzlich vorgeschrieben, wird GoDaddy mit dem Kunden (auf dessen angemessene Kosten) bei allen Bemühungen des Kunden kooperieren, die Offenlegung der personenbezogenen Daten des Kunden als Reaktion auf ein rechtliches Verfahren zu verhindern.

5.2 Der Kunde erkennt ausdrücklich an, dass GoDaddy Sicherheitsmerkmale und -funktionen bereitstellt, die der Kunde zum Schutz seiner personenbezogenen Daten nutzen kann. Der Kunde ist allein dafür verantwortlich, angemessene risikobasierte Schritte zu unternehmen, um die Sicherheit des Kundenkontos und der personenbezogenen Daten des Kunden unter seiner Kontrolle zu schützen, einschließlich der Verwendung von Sicherheitsmerkmalen und -funktionen, die von GoDaddy bereitgestellt werden. Der Kunde ist auch allein dafür verantwortlich, dass alle Inhalte, die er in die Services einstellt oder einstellen lässt, frei von Schwachstellen sind, die zu einer Gefährdung der personenbezogenen Daten des Kunden und der Systeme von GoDaddy führen könnten, insbesondere von bösartiger Software. GoDaddy ist nicht für die Sicherung der personenbezogenen Daten des Kunden verantwortlich.

5.3 Der Kunde ist verpflichtet, alle Anforderungen des Payment Card Industry Data Security Standard („PCI-DSS“) einzuhalten und darf GoDaddy personenbezogene Daten des Kunden, die Kredit-, Debit- oder andere Zahlungskarteninhaberdaten („PCI-DSS-Daten“) enthalten, nur in Verbindung mit Diensten von GoDaddy zur Verfügung stellen, die speziell für die Verarbeitung solcher PCI-DSS-Daten konzipiert sind. Der Kunde trägt die alleinige Verantwortung für Verstöße gegen die PCI-DSS-Anforderungen, wenn er Dienste von GoDaddy zur Verarbeitung oder Speicherung von PCI-DSS-Daten außerhalb der PCI-DSS-konformen Dienstangebote von GoDaddy nutzt.

5.4 Zusätzlich zu den Maßnahmen, die für GoDaddy erforderlich sind, um seinen Verpflichtungen gemäß den geltenden Datenschutzgesetzen und den PCI-DSS-Anforderungen für die PCI-DSS-Beschwerdedienste von GoDaddy nachzukommen, wird GoDaddy die in Anlage 2 dieses DPA aufgeführten spezifischen technischen und organisatorischen Maßnahmen umsetzen.

6.2 GoDaddy unternimmt alle wirtschaftlich vertretbaren Anstrengungen, um den Kunden innerhalb der nach geltendem Recht erforderlichen Frist über eine Verletzung der Sicherheit der Systeme von GoDaddy zu informieren, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Änderung, zur unbefugten Offenlegung von oder zum Zugriff auf personenbezogene Daten des Kunden führt („Sicherheitsvorfall“).

6.3 GoDaddy wird ohne unangemessene Verzögerung angemessene, risikobasierte Schritte unternehmen, die vernünftigerweise notwendig sind, um einen Sicherheitsvorfall einzudämmen, abzuschwächen und zu beheben.

6.4 GoDaddy wird dem Kunden in angemessenem Umfang Informationen zur Verfügung stellen, die dieser anfordert, um die Auswirkungen eines Sicherheitsvorfalls auf die personenbezogenen Daten des Kunden zu bewerten und um Behörden, betroffenen Personen oder anderen Personen eine Mitteilung über den Sicherheitsvorfall zukommen zu lassen.

6.5 Die Kenntnisnahme eines Sicherheitsvorfalls oder die Entscheidung von GoDaddy, den Kunden über einen Sicherheitsvorfall zu informieren, ist kein Eingeständnis eines Verschuldens oder einer Haftung.

7.2 GoDaddy wird nicht auf Anfragen betroffener Personen antworten, es sei denn, es liegen dokumentierte Anweisungen des Kunden vor oder es besteht eine anderweitige Verpflichtung nach geltendem Recht.

7.3 GoDaddy wird den Kunden über jede Anfrage betroffener Personen informieren. Der Kunde ist allein für die Beantwortung der Anfragen betroffener Personen verantwortlich. Wenn der Kunde alle zur Verfügung stehenden Mittel ausgeschöpft hat, um auf eine Anfrage der betroffenen Person zu antworten, wird GoDaddy dem Kunden ‒ vorbehaltlich der Zustimmung des Kunden, die angemessenen Kosten von GoDaddy im Voraus zu zahlen ‒ die Unterstützung gewähren, die vernünftigerweise erforderlich ist, damit der Kunde auf eine Anfrage der betroffenen Person antworten kann.

8.2 Compliance-Anfragen. Der Kunde kann in regelmäßigen Abständen Informationen anfordern, die vernünftigerweise erforderlich sind, um zu bestätigen, dass GoDaddy seinen Verpflichtungen gemäß den geltenden Datenschutzgesetzen nachkommt. Reagiert GoDaddy nicht innerhalb von fünfundvierzig (45) Tagen auf die Anfrage des Kunden, kann der Kunde die Vereinbarung kündigen. Zur Klarstellung: Nichts in diesem DPA gibt dem Kunden das Recht, eine Prüfung der Geschäfte, Systeme oder Dienstleistungen von GoDaddy durchzuführen. Die Verpflichtung von GoDaddy im Rahmen dieses Abschnitts beschränkt sich darauf, dem Kunden die Informationen zur Verfügung zu stellen, die vernünftigerweise erforderlich sind, um zu bestätigen, dass GoDaddy seine Verpflichtungen gemäß den geltenden Datenschutzgesetzen einhält.

9.2 Wenn die personenbezogenen Daten des Kunden aus den Vereinigten Staaten stammen, gelten die in Anlage 3 (Abschnitt 1) dieses DPA aufgeführten Bestimmungen zu den US-Datenschutzgesetzen.

Wenn die personenbezogenen Daten des Kunden aus der Europäischen Union/dem Europäischen Wirtschaftsraum („EU/EWR“), dem Vereinigten Königreich oder der Schweiz stammen oder wenn der Kunde in einem oder mehreren dieser Länder ansässig ist, gelten die in Anlage 9.3 (Abschnitt 3) dieses DPA aufgeführten Bestimmungen über die anwendbaren Datenschutzgesetze der EU/des EWR, des Vereinigten Königreichs und/oder der Schweiz.

9.4 Wenn ein gültiger internationaler Datenübermittlungsmechanismus („obligatorischer Übermittlungsmechanismus“) erforderlich ist, um personenbezogene Daten des Kunden rechtmäßig zu übermitteln, gelten die in Anlage 4 zu diesem DPA aufgeführten Bedingungen.

10.2 Änderung. Dieser DPA kann von GoDaddy nach eigenem Ermessen gemäß den in der Vereinbarung dargelegten Verfahren geändert oder ergänzt werden. Wenn der Kunde mit einer solchen Änderung nicht einverstanden ist, besteht sein einziges Rechtsmittel darin, den Teil der Vereinbarung, der sich auf die Verarbeitung der personenbezogenen Daten des Kunden bezieht, mit einer Frist von dreißig (30) Tagen zu kündigen. Sofern die Parteien nicht ausdrücklich schriftlich etwas anderes vereinbart haben, gilt eine Änderung dieser Vereinbarung nur für die Verarbeitung, die nach dem Datum der Änderung erfolgt.

10.3 Kein Rechtsverzicht. Der Verzicht auf eine Verletzung dieses DPA ist nur dann wirksam, wenn er von einem bevollmächtigten Vertreter der Partei, die auf eine solche Verletzung verzichtet, schriftlich erklärt wird, und ein solcher Verzicht kann nicht als Verzicht auf eine spätere Verletzung ausgelegt werden.

10.4 Salvatorische Klausel. Sollte sich eine Bestimmung dieses DPA als nicht durchsetzbar erweisen, so wird diese Bestimmung in dem Umfang geändert, der erforderlich ist, um sie durchsetzbar zu machen, und die übrigen Bestimmungen dieses DPA bleiben wie geschrieben in Kraft. Sollte jedoch die Änderung einer nicht durchsetzbaren Bestimmung dazu führen, dass der wesentliche Zweck dieses DPA verfehlt wird, gilt der gesamte DPA als null und nichtig, sofern er nicht gemäß Abschnitt 10.2 geändert wird.

10.5 Mitteilungen. Sofern hierin nicht ausdrücklich etwas anderes bestimmt ist, werden die im Rahmen dieses DPA erforderlichen Mitteilungen gemäß den in der Vereinbarung festgelegten Mitteilungsanforderungen übermittelt.

10.6 Haftung. Dieser DPA bietet weder einer der Parteien noch einer anderen Person eine Grundlage für die Geltendmachung von Schadensersatzansprüchen jeglicher Art, die über die in der Vereinbarung festgelegten Ansprüche hinausgehen, und solche Ansprüche unterliegen allen darin festgelegten Einschränkungen.

10.7 Durchsetzung. Die Bedingungen dieses DPA können von den Parteien nur in ihrem eigenen Namen und in dem ihrer jeweiligen verbundenen Unternehmen gemäß den in der Vereinbarung festgelegten Bestimmungen zur Streitbeilegung durchgesetzt werden. Diese Einschränkung der Durchsetzung hat jedoch keine Auswirkung auf die Fähigkeit einer einzelnen betroffenen Person, ihre Rechte gemäß den Datenschutzgesetzen durchzusetzen.

10.8 Kündigung. Dieser DPA endet mit dem Abschluss der Verarbeitung oder der Beendigung der Vereinbarung, je nachdem, was später eintritt, es sei denn, er wird gemäß der Vereinbarung oder einer anderen anwendbaren Bestimmung dieses DPA oder gemäß den geltenden Datenschutzgesetzen früher beendet. Nach Beendigung dieses DPA wird GoDaddy die personenbezogenen Daten des Kunden gemäß den Bedingungen der Vereinbarung und dieses DPA zurückgeben, löschen oder anonymisieren, es sei denn, GoDaddy ist gemäß geltendem Recht verpflichtet, die personenbezogenen Daten des Kunden zu speichern. Wenn GoDaddy verpflichtet ist, personenbezogene Daten des Kunden nach Beendigung der Vereinbarung aufzubewahren, wird GoDaddy weiterhin seinen Verpflichtungen in Bezug auf die Verarbeitung personenbezogener Daten des Kunden gemäß diesem DPA nachkommen und solche personenbezogenen Daten des Kunden unverzüglich zurückgeben oder löschen, nachdem die Aufbewahrung rechtlich nicht mehr erforderlich ist.

10.9 Anwendbares Recht und Gerichtsstand. Dieser DPA unterliegt den in der Vereinbarung festgelegten Gesetzen, es sei denn, die Datenschutzgesetze schreiben etwas anderes vor; in diesem Fall gelten die Gesetze der in den Datenschutzgesetzen vorgesehenen Gerichtsbarkeit. Keine Bestimmung dieses DPA ist so zu verstehen, dass sie die Rechte oder Pflichten einer Person nach den geltenden Datenschutzgesetzen einschränkt.

5. Vereinbarung über die internationale Datenübermittlung aus dem Vereinigten Königreich

5.3 Der britische Information Commissioner fungiert als zuständige Aufsichtsbehörde, soweit die betreffende Übermittlung durch britische Datenschutzgesetze und -vorschriften geregelt ist.

5.4 Widersprüche. Im Falle eines Widerspruchs oder einer Unstimmigkeit zwischen den EU-Standardvertragsklauseln oder der britischen IDTA und anderen Bestimmungen in diesem Datenverarbeitungszusatz sind die Bestimmungen der EU-Standardvertragsklauseln bzw. der britischen IDTA maßgebend.