Datenschutzverpflichtungen

Version: 3. Februar 2021

Diese Datenschutzverpflichtungen (die “DSV”) wurden von Kunde und Mynewsdesk (einzeln die “Partei” und gemeinsam die “Parteien”) eingegangen. Die Parteien vereinbaren Folgendes:

1. Hintergrund

   1.1. Kunde und Mynewsdesk haben eine Vereinbarung bzgl. der Erbringung von Leistungen seitens Mynewsdesk an den Kunden (im Folgenden “Hauptvereinbarung”) getroffen. Die vorliegenden DBV beschreiben und legen die unterschiedlichen Aspekte und Verpflichtungen der Parteien bzgl. der Verarbeitung von personenbezogenen Daten dar, zu welcher es im Rahmen der Leistungsnutzung seitens des Kunden oder sonstiger Auswirkungen der Hauptvereinbarung kommen kann.

   1.2. Zudem können die Parteien in Bezug auf ihre Beziehungen und im Zusammenhang mit der Verarbeitung personenbezogener Daten, wie in Punkt 1.1 beschrieben, verschiedene Funktionen und Zuständigkeiten übernehmen. Die DSV erläutern, wann die Parteien die Funktion des Verantwortlichen haben und wann Mynewsdesk Auftragsverarbeiter ist und personenbezogene Daten im Auftrag des Kunden verarbeitet, sowie die Pflichten und Zuständigkeiten in diesem Zusammenhang.

   1.3. Das geltende Datenschutzrecht legt auch fest, wenn der Auftragsverarbeiter im Auftrag eines Verantwortlichen personenbezogene Daten verarbeitet, eine solche Beziehung vertraglich geregelt wird. Anhang 1 (der “AV-Vertrag”) wurde konform den Anforderungen für solche Verträge für die Situation erstellt, in der Mynewsdesk als Auftragsverarbeiter handelt. Der AV-Vertrag stellt einen wesentlichen Bestandteil dieser DSV dar.

   1.4. Die hierin verwendeten Begriffe stimmen mit den Definitionen aus der Hauptvereinbarung und geltendem Datenschutzrecht überein.

   1.5. Bezugnehmend auf das Vorstehende haben die Parteien Folgendes vereinbart:

2. Begriffsbestimmungen

   Im Sinne dieser DSV bezeichnet der Ausdruck:

   “Geltendes Datenschutzrecht”

   alle Gesetze und sonstigen Vorschriften zum Datenschutz, die zu gegebener Zeit bei der Verarbeitung personenbezogener Daten gemäß diesen DSV gelten, einschließlich u. a. das schwedische Datenschutzgesetz (Sw. lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning) und der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) (“DSGVO”).

   “Contacts”

   die natürliche oder juristische Person, öffentliche Stelle, Behörde oder sonstige Stelle, welche alleine oder zusammen mit anderen Verarbeitungszweck und -mittel in Bezug auf personenbezogene Daten festlegt/-(en).

   “Der Verantwortliche”

   den Dienst und das Feature auf der Plattform von Mynewsdesk, wo der Kunde Kontaktinformationen und sonstige Informationen über seine Kontakte erheben kann, um Inhalte effizient zu verwalten und zu verteilen.

   “Auftragsverarbeiter”

   die natürliche oder juristische Person, öffentliche Stelle, Behörde oder sonstige Stelle, welche im Auftrag des Verantwortlichen personenbezogene Daten verarbeitet.

   “Betroffene Person”

   eine identifizierte oder identifizierbare natürliche Person; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

   “Personenbezogene Daten”

   alle Informationen, die sich auf eine betroffene Person beziehen.

   “Verarbeitung (personenbezogener Daten)”

   jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3. Pflichten und Zuständigkeiten

   3.1. Allgemeines

   Mynewsdesk legt großen Wert auf den Schutz der persönlichen Integrität und die Gewährleistung, dass die Verarbeitung personenbezogener Daten innerhalb der Dienste korrekt und rechtmäßig erfolgt. Daher können die Dienstleistungen von Mynewsdesk nur nach geltendem Datenschutzrecht genutzt werden.

   3.2. Verarbeitung personenbezogener Daten von Mitarbeitern bzw. Vertretern der Parteien

   • 3.2.1. Jede Partei darf abhängig von der Hauptvereinbarung und den vorliegenden DSV Kontaktinformationen und möglicherweise auch andere personenbezogene Daten der Mitarbeiter bzw. Vertreter der anderen Partei verarbeiten. Eine solche Verarbeitung kann zu Kommunikations- und Rechnungsstellungszwecken sowie zu sonstigen Zwecken erfolgen, die der Verwaltung der Beziehung mit der jeweils anderen dient. Jede Partei stellt sicher, dass die andere Partei berechtigt ist, diese personenbezogenen Daten, die sich auf die jeweiligen Mitarbeiter bzw. Vertreter beziehen, in dem Umfang verarbeiten darf, wie dies für die Erfüllung der Hauptvereinbarung und der vorliegenden DSV für die andere Partei erforderlich ist.

   • 3.2.2. Mitarbeiter bzw. Vertreter des Kunden können Nutzerkonten anlegen, die sie für die Nutzung der Dienstleistungen von Mynewsdesk verwenden. Die Verarbeitung personenbezogener Daten dieser betroffenen Person durch Mynewsdesk unterliegt neben den Vorgaben in Punkt 3.2.1 dem direkten Verhältnis zwischen Mynewsdesk und dem entsprechenden Mitarbeiter bzw. Vertreter und wird über die entsprechenden Bedingungen von Mynewsdesk zu Nutzerkonten einschließlich der geltenden Datenschutzerklärung oder Ähnlichem geregelt.

   3.3. Veröffentlichung von Inhalten auf der Plattform von Mynewsdesk, die personenbezogene Daten enthalten

   Der Kunde kann Inhalte auf der Plattform von Mynewsdesk selbst veröffentlichen oder Mynewsdesk dazu anweisen. Der Kunde handelt in dem Umfang als Verantwortlicher bei der Verarbeitung, inwieweit dieser Inhalt personenbezogene Daten enthält. Mynewsdesk ist Auftragsverarbeiter in Bezug auf den Kunden bei der Übernahme einer Veröffentlichungsfunktion auf der eigenen Plattform, wenn Mynewsdesk Inhalte im Auftrag und auf Weisung des Kunden veröffentlicht.

   3.4. Verarbeitung personenbezogener Daten im Feature Contacts

   • 3.4.1. Zu Contacts

     • 3.4.1.1. Bei Contacts handelt es sich um eine Dienstleistung und ein Feature auf der Plattform von Mynewsdesk, bei der der Kunde Kontaktinformationen und sonstige Informationen über seine Kontakte erheben kann. Der Kunde kann diese Informationen selbst durch Einlesen in Contacts erheben oder er verwendet dazu Funktionen auf der Plattform, die es ihm erlauben, Informationen zu erheben, welche durch Mynewsdesk oder dessen Fremdlieferanten in Contacts eingelesen wurden.

     • 3.4.1.2. Contacts ermöglicht es dem Kunden, nach Informationen zu suchen, Adressenlisten für den Versand auf Grundlage der erhobenen Informationen zu erstellen, Inhalte an seine Kontakte zu verteilen und die persönlichen Interessen seiner Kontakte und wie sie auf an sie über Funktionen in Contacts versandte Nachrichten reagieren, weiterzuverfolgen und zu analysieren.

     • 3.4.1.3. Contacts soll die Verwaltungsabläufe und die Verteilung von gewerblichen und nicht gewerblichen Inhalten (einschließlich Marketingbotschaften) basierend auf einem berechtigten Interesse daran oder ggf. auf einer anderen Rechtsgrundlage erleichtern, die beim Kunden nach geltenden Datenschutzrecht für die Verarbeitung vorliegt.

   • 3.4.2. Arten personenbezogener Daten in Contacts

     Folgende Arten personenbezogener Daten können in Contacts eingelesen und verarbeitet werden:

     1. Name und Kontaktdaten, wie Anschrift, E-Mail-Adresse und Telefon- und Faxnummer;

     2. Staatsangehörigkeit, Land und sonstige Standortangaben;

     3. Berufsbezeichnung und Gesellschaftsname;

     4. Informationen zu den Kontakten und deren Interessen.

   • 3.4.3. Einlesen personenbezogener Daten in Contacts

     • 3.4.3.1. Der Kunde kann personenbezogene Daten, wie in Punkt 3.4.2 dargelegt, in Contacts durch Hochladen dieser personenbezogenen Daten auf die Plattform über seine Nutzerkonten einlesen. Der Kunde handelt bei der Verarbeitung als Verantwortlicher und darf ausschließlich solche Daten in dem Umfang auf die Plattform einlesen, für die er und inwieweit er daran ein rechtlich gesichertes Anrecht hat.

     • 3.4.3.2. Der Kunde kann über die Verwendung von Contacts Zugang zu personenbezogenen Daten erlangen, welche der Kunde nicht auf die Plattform hochgeladen hat; das können Kontaktinformationen über andere Nichtkundenkontakte und ggf. zusätzliche Angaben zu seinen Kontakten sein. Die in diesem Punkte 3.4.3.2 aufgeführten personenbezogenen Daten werden auf öffentlich zugänglichen Quellen, wie sozialen Medien und anderen Online-Medienkanälen, gesucht und zusammengetragen und von Mynewsdesk selbst oder über seine Fremdlieferanten in Contacts eingelesen. Mynewsdesk handelt bei Recherche und Übermittlung von diesen personenbezogenen Daten zum Kunden, in dem Umfang, wie diese Daten durch Mynewsdesk in Contacts eingelesen werden, als der Verantwortliche. Mynewsdesk darf nur dann solche Daten an den Kunden übermitteln, wenn Mynewsdesk dafür ein rechtlich gesichertes Anrecht hat, und darf ausschließlich diese übermitteln. Die jeweiligen Fremdlieferanten sind die Verantwortlichen bei Recherche und Übermittlung von diesen personenbezogenen Daten zum Kunden.

     3.4.4. Weiterverarbeitung personenbezogener Daten in Contacts

     • 3.4.4.1. Der Kunde kann unter Contacts diese in Punkt 3.4.3 beschriebenen personenbezogenen Daten weiter bearbeiten. Der Kunde kann damit (im Allgemeinen wie in eingerichteten Adressenlisten auch) die Daten selbst speichern, bearbeiten, verwalten und löschen oder Mynewsdesk anweisen, dies in seinem Auftrag auszuführen. Der Kunde kann auch Funktionen auf der Plattform zum Versenden elektronischer Nachrichten an seine Kontakte nutzen und die Reaktion seiner Kontakte auf solche Nachrichten analysieren. Der Kunde ist der Verantwortliche in Bezug auf die Weiterverarbeitung personenbezogener Daten. Mynewsdesk ist der Auftragsverarbeiter für den Kunden bei der entsprechenden Speicherung personenbezogener Daten sowie bei der Bereitstellung einer Schnittstelle und einer Funktion auf seiner Plattform an den Kunden, die es dem Kunden ermöglicht, elektronische Nachrichten zu versenden und die Reaktion der Kontakte darauf zu analysieren, und ggf. für den Support der an den Kunden bereitgestellten Dienstleistungen.

     • 3.4.4.2. Mynewsdesk handelt als Verantwortlicher bei der Weiterverarbeitung personenbezogener Daten in Contacts zu eigenen Zwecken (indem es die eigenen Dienstleistungen anbietet, um Verarbeitungsschritte in Contacts zu ermöglichen, und die Aktivitäten der betroffenen Personen analysiert, um die Dienstleistungen zu verbessern, einschließlich der Nachbearbeitung).

   3.5. Pflichten der Parteien als Verantwortliche

   • 3.5.1. Jede der Partei gewährleistet und haftet für die Einhaltung der Anforderungen an den Verantwortlichen gemäß geltendem Datenschutzrecht, wenn sie gemäß diesen DSV als Verantwortliche handelt. Dies beinhaltet u. a. die Gewährleistung der Rechtsgrundlage für die Verarbeitung durch die jeweilige Partei, das Treffen geeigneter Maßnahmen zur Unterrichtung der betroffenen Person über die Verarbeitung ihrer personenbezogenen Daten und es der betroffenen Person zu erleichtern, ihre Rechte, die ihr bzgl. der Verarbeitung zustehen, auszuüben. Jede Partei stellt zudem sicher, dass sie auf eigene Verantwortung alle sonstigen Rechtsvorschriften einhält, die im Rahmen ihrer Verarbeitung gemäß diesen DSV anwendbar sind. Der Kunde stellt sicher und ist verantwortlich dafür, dass die Zustimmung der betroffenen Person zum Erhalt von Marketingbotschaften insoweit vorliegt, wie diese Zustimmung gemäß geltendem Recht erforderlich ist.

   • 3.5.2. Mynewsdesk unterstützt den Kunden im Rahmen der eigenen Dienstleistungen dabei, dass dieser seine in Punkt 3.5.1 ausgeführten Pflichten einhalten kann, indem (i) Mynewsdesk eine Datenschutzerklärung, einschließlich der Informationen über die Verarbeitung von personenbezogenen Daten in Conacts in jeder über Contacts versandten elektronischen Nachricht und auf der Webseite von Mynewsdesk bereitstellt und (ii) die Plattform von Mynewsdesk Funktionen zum Abmelden enthält, wenn keine Marketingbotschaften über Contacts erwünscht sind, sowie zum Deaktivieren der Verarbeitung von personenbezogenen Daten in Contacts. Mynewsdesk stellt zudem eine elektronische Supportadresse bereit, an die betroffene Personen schreiben können, um ihre Rechte auszuüben. Mynewsdesk informiert den Kunden über Funktionen in Contacts oder auf andere Weise, sobald es ihm bekannt wird, dass eine betroffene Person ihre Rechte in Bezug auf die Verarbeitung ihrer personenbezogenen Daten durch den Kunden in Contacts wahrnehmen möchte.

   • 3.5.3. Der Kunde berücksichtigt jederzeit die Wahrnehmung ihrer Rechte seitens der betroffenen Personen gemäß geltendem Datenschutzrecht. Der Kunde darf daher innerhalb der Dienstleistungen keine personenbezogenen Daten von einer betroffenen Person verarbeiten, die einer solchen Verarbeitung widersprochen, dies deaktiviert oder dies auf andere Weise abgelehnt hat bzw. die Löschung ihrer personenbezogenen Daten aus den Dienstleistungen beantragt hat.

   3.6. Einschränkungen bzgl. sensibler personenbezogener Daten

   Dem Kunden ist bekannt, dass die Dienstleistungen nicht dazu dienen, besondere Kategorien personenbezogener Daten zu erheben, zu verwalten oder auf sonstige Weise zu verarbeiten (so genannte “sensible personenbezogene Daten”). Dem Kunden ist ferner bekannt, dass eine solche Verarbeitung gemäß geltendem Datenschutzrecht verboten ist, sofern keine Ausnahme im besagten Recht vorgesehen ist und zutrifft. Der Kunde übernimmt die gesamte Verantwortung, insoweit er besondere Kategorien personenbezogener Daten bei seiner Nutzung der Dienstleistungen verarbeitet, und hält Mynewsdesk schadlos für Schadensersatzansprüche aller Art, die aus der Nutzung der Dienstleistungen seitens des Kunden zur Verarbeitung von sensiblen personenbezogenen Daten resultieren können.

   3.7. Einschränkungen bzgl. personenbezogener Daten, die über die Dienstleistungen zugänglich wurden

   • 3.7.1. Mit Ausnahme des hierunter ausdrücklich Ausgeführten darf der Kunde weder während der Laufzeit dieser DSV noch danach personenbezogene Daten, die ihm durch die Nutzung der Dienstleistungen zugänglich waren, an Dritte offenlegen, missbrauchen oder zu anderen Zwecken als zur Nutzung der Dienstleistungen verwenden. Zur Klarstellung beinhalten solche Daten u. a.:

     1. personenbezogene Daten, die der Kunde nicht selbst in Contacts eingelesen hat, wie in Punkt 3.4.3.2 ausgeführt;

     2. die Identität der Follower des Newsrooms und deren Interaktion mit über die Funktionen von Contacts versandten Nachrichten; und

     3. personenbezogene Daten, die in Material enthalten sind, das aus den Dienstleistungen zur Medienüberwachung und Medienanalyse durch Mynewsdesk hervorgeht.

   • 3.7.2. Mit Ausnahme des hierunter ausdrücklich Ausgeführten darf Mynewsdesk weder während der Laufzeit dieser DSV noch danach personenbezogene Daten, die ihm durch den Kunden aufgrund dessen Nutzung von Contacts zugänglich waren, an Dritte offenlegen, missbrauchen oder zu anderen Zwecken als zur Nutzung des Kunden der Dienstleistungen verwenden. Zur Klarstellung beinhalten solchen Daten personenbezogene Daten, wie der Kunde diese gemäß Punkt 3.4.3.1 in Contacts eingelesen hat.

   • 3.7.3. Die in Punkt 3.7 ausgeführten Einschränkungen gelten nicht für Informationen, die allgemein zugänglich sind oder zu deren Herausgabe die Partei, die den Einschränkungen unterliegt, laut Gesetz, Verordnung oder Entscheidungen der Behörden verpflichtet ist.

   3.8. Datenverarbeitung durch Mynewsdesk zum Zweck der Bereitstellung der Dienstleistungen

   Mynewsdesk kann jedoch jederzeit personenbezogene Daten und andere Daten verarbeiten, die der Kunde zum Zweck der Bereitstellung seiner Dienstleistungen auf die Plattform hochgeladen hat, einschließlich zwecks Verbesserung der Dienstleistungen und Sicherstellung und Verbesserung der IT-Sicherheit der Dienstleistungen. Mynewsdesk kann für einen Zeitraum von zwölf Monaten nach Dateierstellung zu diesen Zwecken eine Log-Datei zu Nutzung und Handlungen der Mitarbeiter bzw. Vertreter des Kunden innerhalb der Dienstleistungen von Mynewsdesk erstellen und speichern. Mynewsdesk handelt bei dieser Verarbeitung personenbezogener Daten zu eigenen Zwecken als Verantwortlicher.

4. Verpflichtung zur Bekanntgabe der Kontaktdaten des Datenschutzbeauftragten

   Hat der Kunde einen Datenschutzbeauftragten ernannt, gibt er dessen Kontaktdaten an Mynewsdesk bekannt, damit Mynewsdesk diese Kontaktdaten ggf. an betroffene Personen bekanntgeben kann.

5. Haftung

   5.1. Jede Partei hält die jeweils andere mit den in der Hauptvereinbarung ausgeführten Ausnahmen (Kapitel 12) hinsichtlich aller Ansprüche, Schäden, Verluste und Ausgaben schad- und klaglos, welche der nicht mit diesen DSV und/oder nicht mit geltendem Datenschutzrecht konformen Verarbeitung personenbezogener Daten durch die erste Partei anlastbar sind; es sei denn, diese Partei kann nachweisen, dass sie oder ggf. ihr Unterauftragsverarbeiter nicht verantwortlich ist.

   5.2. Jede Partei unterrichtet die andere binnen einer angemessenen Frist schriftlich, wenn sie Schadensersatzforderungen oder sonstige Haftpflichtansprüche erhält und gewährt der anderen Partei ausreichend Einblick in die Unterlagen, damit diese ihre Verteidigung vorbereiten bzw. den Schaden eingrenzen kann.

6. Fortbestehen der Pflichten

   Bei Beendigung der Hauptvereinbarung und dementsprechend dieser DSV bestehen unabhängig vom Grund der Beendigung die in den DSV enthaltenen Bestimmungen fort, die ausdrücklich oder aufgrund ihrer Bedeutung und ihres Kontextes auch nach Ende oder Kündigung dieser DSV zum Fortbestehen bestimmt sind, und sind auch nach dem Ende oder der Kündigung weiterhin voll gültig und wirksam.

7. Sonstiges

   7.1. Die vorliegenden DSV stellen keine Übereignung personenbezogener oder sonstiger Daten dar, die diesen DSV unterliegen.

   7.2. Diese DSV, einschließlich ihres Anhangs, sind wesentlicher und fester Bestandteil der Hauptvereinbarung und alle darin enthalten, für den Gegenstand dieser DSV geltenden Bestimmungen gelten auch hierunter. Zur Klarstellung: Solche Bestimmungen enthalten u. a. die allgemeinen Geschäftsbedingungen zu Vertragsdauer und -beendigung (Kapitel 10), Haftungsbeschränkung (Kapitel 12) und Änderungen an der Hauptvereinbarung (Kapitel 18), die daher auch in Bezug auf diese DSV gelten. Im Fall eines Widerspruchs zwischen der Hauptvereinbarung und diesen DSV haben die DSV in Bezug auf die Verarbeitung personenbezogener Daten, die Gegenstand dieser DSV sind, Vorrang.

Anhang 1 - Auftragsverarbeitungs-Vertrag (“AV-Vertrag”)

1. Einleitung

   1.1. Das geltende Datenschutzrecht legt fest, dass sobald ein Auftragsverarbeiter im Auftrag eines Verantwortlichen personenbezogene Daten verarbeitet, eine solche Beziehung vertraglich geregelt wird. Der vorliegende AV-Vertrag wurde gemäß den Anforderungen an eine solche vertragliche Beziehung gestaltet und gilt nur, wenn Mynewsdesk als Auftragsverarbeiter im Auftrag des Kunden tätig ist.

   1.2. Er ergibt sich aus Punkt 3.3 und 3.4.4.1 der DSV, in welchen Situationen Mynewsdesk Auftragsverarbeiter im Auftrag des Kunden ist.

   1.3. Die Art der gemäß diesem AV-Vertrag verarbeiteten personenbezogenen Daten, die Kategorien von betroffenen Personen, deren personenbezogene Daten verarbeitet werden, und Art und Zweck der Verarbeitung gemäß diesem AV-Vertrag werden in Punkt 3 der DSV umrissen.

2. Verarbeitung personenbezogener Daten

   2.1. Allgemeine Pflichten seitens Mynewsdesk als Auftragsverarbeiter

   • 2.1.1. Bei der Verarbeitung personenbezogener Daten im Rahmen dieses AV-Vertrags erfüllt Mynewsdesk geltendes Datenschutzrecht.

   • 2.1.2. Mynewsdesk stellt sicher, dass die Personen, die im Auftrag von Mynewsdesk zur Verarbeitung der personenbezogenen Daten, die laut diesem AV-Vertrag verarbeitet werden, autorisiert sind, zur Verschwiegenheit verpflichtet wurden oder angemessenen gesetzlichen Vertraulichkeitsauflagen unterliegen.

   • 2.1.3. Angesichts der Art der Verarbeitung unterstützt Mynewsdesk den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der laut geltendem Datenschutzrecht bestehenden Rechten der betroffenen Person nachzukommen.

   • 2.1.4. Angesichts der Art der Verarbeitung und der Mynewsdesk zur Verfügung stehenden Informationen unterstützt Mynewsdesk den Kunden bei der Einhaltung der Pflichten des Kunden laut geltendem Datenschutzrecht; dies beinhaltet (ggf.) dessen Pflicht, (i) technische und organisatorische Maßnahmen zu implementieren, (ii) Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörden mitzuteilen, (iii) Verletzungen des Schutzes personenbezogener Daten an die betroffenen Personen mitzuteilen, (iv) Datenschutz-Folgenabschätzung durchzuführen und (v) vorherige Konsultation mit der Aufsichtsbehörde durchzuführen.

   2.2. Weisungen des Kunden

   • 2.2.1. Mynewsdesk kann personenbezogene Daten nur im Auftrag des Kunden in Übereinstimmung mit den dokumentierten Weisungen des Kunden, die in der Hauptvereinbarung ausgeführt sind, welche zur Klarstellung die DSV und diesen AV-Vertrag umfassen, oder auf andere Weise durch den Kunden Mynewsdesk mitgeteilt werden, verarbeiten, sofern Mynewsdesk nicht durch das Recht der Union (und der Mitgliedstaaten), dem Mynewsdesk unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt Mynewsdesk dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

   • 2.2.2. Mynewsdesk informiert den Kunden unverzüglich, falls Mynewsdesk der Auffassung ist, dass eine Weisung gegen geltendes Datenschutzrecht verstößt und wartet auf weitere Weisungen. Der Kunde erteilt Mynewsdesk die erforderlichen Weisungen in angemessener Zeit. Erteilt der Kunde keine solchen Weisungen, kann Mynewsdesk erforderliche Maßnahmen einleiten, um die Einhaltung geltenden Datenschutzrechts zu gewährleisten. Zur Klarstellung: Hiervon bleibt die Verantwortung des Kunden aus der Hauptvereinbarung (einschließlich der DSV und diesem AV-Vertrag) unberührt.

   2.3. Dauer der Verarbeitung

   • 2.3.1. Mynewsdesk verarbeitet personenbezogene Daten des Kunden gemäß diesem AV-Vertrag für die Dauer der Hauptvereinbarung. Mynewsdesk berücksichtigt stets Anfragen des Kunden zur Löschung personenbezogener Daten nach Maßgabe dieses AV-Vertrags sowie jederzeit die Abmeldung betroffener Personen aus Contacts (durch Eintragung der E-Mail-Adresse der betroffenen Person, damit sie für die Verarbeitung als gesperrt identifiziert werden kann, unter Aufbewahrung des Antrags für einen angemessenen Zeitraum).

   • 2.3.2. Mynewsdesk löscht alle nach diesem AV-Vertrag verarbeiteten personenbezogene Daten und alle vorhandenen Kopien nach dem in Punkt 2.3.1 dieses AV-Vertrags festgelegten Zeitraum oder gibt diese auf Wunsch des Kunden an diesen zurück, sofern nach EU-Recht (und dem der Mitgliedstaaten) keine Aufbewahrung der personenbezogenen Daten gefordert wird.

3. Sicherheit der Verarbeitung

   3.1. Mynewsdesk trifft in Einklang mit geltendem Datenschutzrecht geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen unter anderem Folgendes ein:

   1. die Pseudonymisierung und Verschlüsselung personenbezogener Daten;

   2. die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;

   3. die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;

   4. ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung und

   5. das Führen, die Aktualisierung und die Speicherung von Log-Dateien bzgl. der personenbezogenen Daten, die Unterhaltung einer sicheren IT-Umgebung sowie von physischen Sicherheitsvorkehrungen und -routinen. Log-Dateien werden zwölf Monate lang gespeichert.

   3.2. Mynewsdesk ist vorbereitet, alle Entscheidungen durch Aufsichtsbehörden bzgl. erforderlicher Vorkehrungen zu befolgen, um die gesetzlichen Sicherheitsanforderungen einzuhalten.

   3.3. Mynewsdesk teilt dem Kunden eine Verletzung des Schutzes personenbezogener Daten (wie im geltenden Datenschutzrecht definiert) unverzüglich nach Bekanntwerden mit, welche die nach diesem AV-Vertrag verarbeiteten personenbezogenen Daten betrifft, und stellt dem Kunden alle Informationen bereit, die dieser vernünftigerweise diesbezüglich benötigt.

4. Auskunft und Überprüfungen

   Der Kunde ist berechtigt, Auskunft von Mynewsdesk zu erhalten und die Vorkehrungen zu überprüfen, die gemäß Punkt 2.1.4 und 3.1 des vorliegenden AV-Vertrags eingeleitet wurden. Mynewsdesk ermöglicht Überprüfungen — einschließlich Inspektionen – und trägt zu diesen, die vom Kunden oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, bei. Zweck dieser Überprüfungen ist es, festzustellen, ob Mynewsdesk die in diesem AV-Vertrag festgelegten Pflichten einhält. Alle Überprüfungen erfolgen auf Kosten des Kunden, Mynewsdesk leistet jedoch die erforderliche Mithilfe kostenlos. Der Kunde kann Überprüfungen oder Inspektionen nicht öfter als einmal pro Jahr durchführen, solange keine besonderen Umstände vorliegen, wie beispielsweise, dass der Kunde das Vorliegen eines begründeten Verdachts auf Verletzung dieses AV-Vertrags nachweisen kann.

5. Unterauftragsverarbeiter

   5.1. Mynewsdesk kann Unterauftragsverarbeiter für die Verarbeitung personenbezogener Daten nach diesem AV-Vertrag einsetzen. Möchte Mynewsdesk einen Unterauftragsverarbeiter benennen oder ersetzen, muss zuerst der Kunde darüber unterrichtet werden, welcher innerhalb von zehn (10) Tagen eine solche Maßnahme ablehnen kann. Dieser Einwand des Kunden muss angemessen begründet sein, beispielsweise wenn der Kunde nachweisen kann, dass der Einsatz des vorgeschlagenen Unterauftragsverarbeiters ein erhebliches Risiko bzgl. des Schutzes personenbezogener Daten verursacht. Können der Kunde und Mynewsdesk den Einwand nicht beilegen, ist Mynewsdesk berechtigt, die Hauptvereinbarung umgehend durch schriftliche Kündigung mit sofortiger Wirkung beim Kunden zu beenden; zur Klarstellung: Dazu zählen ebenfalls die DSV und der vorliegende AV-Vertrag.

   5.2. Falls Mynewsdesk Unterauftragsverarbeiter einsetzt, werden zwischen Mynewsdesk und diesen Unterauftragsverarbeitern Auftragsverarbeitungsverträge geschlossen. Durch solche Auftragsverarbeitungsverträge wird sichergestellt, dass der Unterauftragsverarbeiter die gleichen Pflichten bzgl. des Schutzes personenbezogener Daten übernimmt, wie in diesem AV-Vertrag festgehalten, sie bieten hinreichend Garantien, dass der Unterauftragsverarbeiter geeignete technische und organisatorische Maßnahmen so durchführt, dass die Verarbeitung im Einklang mit geltendem Datenschutzrecht erfolgt. Setzt Mynewsdesk Unterauftragsverarbeiter ein, trägt Mynewsdesk gegenüber dem Kunden mit den Einschränkungen aus der Hauptvereinbarung und den DSV die volle Verantwortung für die Handlungen und Unterlassungen eines solchen Unterauftragsverarbeiters.

6. Verarbeitung von personenbezogenen Daten in Drittländern (außerhalb der EU/EWR)

   Sofern nicht anders vereinbart, kann Mynewsdesk personenbezogene Daten in Ländern außerhalb der EU und des EWR verarbeiten lassen. In diesem Fall gewährleistet Mynewsdesk, dass eine solche Verarbeitung zu jedem Zeitpunkt mit geltendem Datenschutzrecht übereinstimmt. Dies kann beispielsweise durch die Aufstellung eines verbindlichen Vertrags zwischen Mynewsdesk und allen Unterauftragsverarbeitern erfolgen, in Übereinstimmung mit den geltenden Standardklauseln der EU-Kommission für die Übermittlung personenbezogener Daten an Drittländer (EU Standard Contractual Clauses (SCC) for the transfer of Personal Data to third countries).

   Die Verarbeitung in einem Land außerhalb der EU/des EWR kann auch auf der Grundlage einer stichhaltigen Angemessenheitsentscheidung erfolgen, etwa auf Basis verbindlicher und von den zuständigen Aufsichtsbehörden genehmigter firmeninterner Datenschutzvorschriften, unter der Voraussetzung dass Mynewsdesk und der entsprechende Unterauftragsverarbeiter die gleichen verbindlichen firmeninternen Datenschutzvorschriften angenommen haben.