Das Kleingedruckte, das die Sponsoren lieben
1. Begriffsbestimmungen
In diesem Verzeichnis haben die folgenden Begriffe folgende Bedeutung:
- "Gesetz" bedeutet das Datenschutzgesetz 2018.
- "Verbundenes Unternehmen" bedeutet jede juristische oder andere Form von Organisation oder jede natürliche Person, mit der der Veranstalter und der Sponsor eine Verbindung haben, die die Übermittlung personenbezogener Daten zur Verarbeitung zur Folge hat oder haben könnte.
- "ICO" bedeutet das Büro des Informationsbeauftragten.
- "Datenschutzgesetzgebung" bedeutet: (a) die DSGVO, (b) die angewandte DSGVO, (c) das Gesetz, (d) Verordnungen gemäß dem Gesetz, (e) Verordnungen gemäß Abschnitt 2(2) des European Communities Act 1972, die sich auf die DSGVO oder die Rechtsdurchsetzungsrichtlinie beziehen.
- "DSGVO" bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung).
- "die angewandte Datenschutz-Grundverordnung" bedeutet die Datenschutz-Grundverordnung, wie sie in Kapitel 3 von Teil 2 des Gesetzes angewandt wird.
- "Strafverfolgungsrichtlinie" bezeichnet die Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates.
- Die Begriffe "für die Verarbeitung Verantwortlicher", "Datenverarbeiter", "Unterauftragsverarbeiter", "betroffene Personen", "personenbezogene Daten", "verarbeiten", "bearbeitet" und "Verarbeitung" haben jeweils die im Gesetz definierte Bedeutung. In dieser Vereinbarung ist der Begriff "personenbezogene Daten" auf Daten beschränkt, die in irgendeiner Weise im Zusammenhang mit dieser Vereinbarung in die Verfügungsgewalt der jeweiligen Partei gelangen.
2. Schutz der Daten
2.1. Die in diesem Anhang beschriebenen Verpflichtungen gelten zusätzlich zu den Verpflichtungen der Parteien gemäß der Datenschutzgesetzgebung.
2.2. Der Veranstalter und der Sponsor erklären sich damit einverstanden, dass personenbezogene Daten zwischen dem Veranstalter und dem Sponsor und umgekehrt in einer Weise ausgetauscht werden können, dass entweder der Veranstalter oder der Sponsor für einige personenbezogene Daten verantwortlich und für andere verantwortlich sein kann.
2.3. Einzelheiten zu den voraussichtlichen Verarbeitungstätigkeiten sind in Anlage 1 zu diesem Verzeichnis aufgeführt.
3. Wie der Veranstalter und der Sponsor Daten verarbeiten
Der Veranstalter und der Sponsor verpflichten sich, jederzeit die Bestimmungen und Verpflichtungen der Datenschutzgesetzgebung einzuhalten und insbesondere:
3.1. personenbezogene Daten nur insoweit zu verarbeiten, als dies zur Erfüllung ihrer jeweiligen Verpflichtungen aus diesem Vertrag erforderlich ist, und nur nach vorheriger schriftlicher Anweisung der anderen Partei (falls erforderlich);
3.2. die andere Partei unverzüglich zu informieren, wenn ihre Anweisung gegen die Datenschutzvorschriften verstößt;
3.3. sicherstellen, dass alle Personen, die im Rahmen dieser Vereinbarung personenbezogene Daten verarbeiten, dies ausschließlich auf der Grundlage der Notwendigkeit der Kenntnisnahme tun, dass sie in Bezug auf ihre Pflichten im Umgang mit personenbezogenen Daten geschult wurden und dass sie an Vertraulichkeitsverpflichtungen gebunden sind, die nicht weniger streng sind als unsere Vertraulichkeitsverpflichtungen im Rahmen dieser Vereinbarung;
3.4. Um allgemein anerkannte internationale Kommunikations- und Geldüberweisungsprotokolle zu verwenden, wird es notwendig sein, für bestimmte Dienstleistungen Unterauftragnehmer einzusetzen. Die Parteien kennen nicht notwendigerweise die Identität jeder Organisation, die an dem Kommunikationszug beteiligt ist. In diesem Fall übernehmen sowohl der Veranstalter als auch der Sponsor die volle Verantwortung für die Einhaltung der Datenschutzgesetze.
3.5. Vorbehaltlich der im letzten Unterabsatz genannten Ausnahmen wird der Sponsor ohne vorherige schriftliche Zustimmung des Veranstalters keine Unterauftragsverarbeiter für die Verarbeitung personenbezogener Daten im Rahmen dieser Vereinbarung einsetzen.
3.6. nach Möglichkeit mit jedem dieser Unterauftragsverarbeiter einen schriftlichen Vertrag abschließen, der für den Unterauftragsverarbeiter die gleichen Verpflichtungen enthält, wie sie dem Veranstalter und dem Sponsor im Rahmen dieses Vertrags auferlegt werden.
3.7. vorbehaltlich der anderen Bestimmungen dieses Anhangs keine personenbezogenen Daten außerhalb des Europäischen Wirtschaftsraums (EWR) zu verarbeiten oder Dritten die Verarbeitung personenbezogener Daten zu gestatten, es sei denn:
3.7.1 EU-Standardvertragsklauseln, die von der Europäischen Kommission oder dem ICO genehmigt wurden, zwischen dem Veranstalter und dem Sponsor oder dem jeweiligen assoziierten Unternehmen als Datenexporteur und dem jeweiligen Empfänger der personenbezogenen Daten als Datenimporteur geschlossen werden; oder
3.7.2 der Empfänger der personenbezogenen Daten einen Datenverarbeitungsvertrag mit dem Datenexporteur abgeschlossen hat; oder
3.7.3 der Empfänger der personenbezogenen Daten unterliegt in den Vereinigten Staaten von Amerika ausschließlich den Bestimmungen des US-Handelsministeriums, ist nach dem EU/US-Datenschutzschild zertifiziert und bleibt für den Zeitraum, in dem er die personenbezogenen Daten verarbeitet, zertifiziert; oder
3.7.4 der Empfänger der personenbezogenen Daten verbindliche unternehmensinterne Regelungen getroffen hat, die für die Verarbeitung personenbezogener Daten im Rahmen dieser Vereinbarung gelten und von der Europäischen Kommission oder dem ICO genehmigt wurden; oder
3.7.5 die Übermittlung an einen Empfänger erfolgt, der in einem Land ansässig ist, dessen Gesetz über die Verarbeitung personenbezogener Daten von der Europäischen Kommission oder dem ICO genehmigt wurde (vorbehaltlich etwaiger Einschränkungen).
3.8. jederzeit über geeignete technische und organisatorische Maßnahmen verfügen, um ein Sicherheitsniveau zu gewährleisten, das dem mit der Verarbeitung der personenbezogenen Daten verbundenen Risiko angemessen ist, um die versehentliche, unbefugte oder unrechtmäßige Zerstörung, den Verlust, die Änderung oder den Zugriff auf personenbezogene Daten zu verhindern, wozu mindestens die Sicherheitsmaßnahmen gehören, die der Veranstalter und der Sponsor voneinander verlangen und sich gegenseitig mitteilen. Beispiele für solche Maßnahmen sind:
3.8.1 die Pseudonymisierung und Verschlüsselung von personenbezogenen Daten;
3.8.2 die Fähigkeit, die ständige Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme und -dienste zu gewährleisten; und
3.8.3 ein Verfahren zur regelmäßigen Prüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung;
3.9. ein schriftliches Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die im Auftrag der anderen Partei durchgeführt werden, zu führen und auf Verlangen dieser anderen Partei eine Kopie des Verzeichnisses zu übermitteln. Das Protokoll muss enthalten:
3.9.1 Name und Kontaktdaten und (gegebenenfalls) die unserer zugelassenen Unterauftragsverarbeiter sowie Angaben zu deren jeweiligen Datenschutzbeauftragten;
3.9.2 die Kategorien personenbezogener Daten, die betroffenen Personen und die Verarbeitungstätigkeiten, die im Namen des Veranstalters und des Sponsors oder der verbundenen Unternehmen durchgeführt werden;
3.9.3 gegebenenfalls die Übermittlung personenbezogener Daten an ein Drittland (d. h. einen Nicht-EU-Mitgliedstaat) oder eine internationale Organisation, einschließlich der Identifizierung dieses Drittlandes und der Dokumentation, die die Anwendung angemessener Garantien belegt; und
3.9.4 eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen, die wir gemäß Artikel 32 Absatz 1 der Datenschutz-Grundverordnung getroffen haben;
3.10. auf Verlangen des Veranstalters dem Veranstalter oder der ICO Zugang zu den Mitarbeitern, Datenverarbeitungseinrichtungen, Verfahren und Aufzeichnungen des Sponsors zu gewähren, um die Einhaltung der Datenschutzgesetze und der Bedingungen dieser Vereinbarung zu überprüfen. Der Veranstalter und der Sponsor erklären sich damit einverstanden, dass der Veranstalter und der Sponsor jede angemessene Zusammenarbeit und Unterstützung gewähren (und sicherstellen, dass jeder Unterauftragsverarbeiter dies tut).
3.11. die andere Partei unverzüglich (und in jedem Fall innerhalb von 24 Stunden) zu informieren, nachdem sie von einer tatsächlichen oder vermuteten unrechtmäßigen Zerstörung, einem Verlust, einer Veränderung, einer Offenlegung oder einem Zugriff auf personenbezogene Daten erfahren hat, die von uns oder einem Unterauftragsverarbeiter im Rahmen dieses Vertrags übermittelt, gespeichert oder anderweitig verarbeitet wurden;
3.12. sich gegenseitig in angemessener Weise zu unterstützen:
3.12.1 Beantwortung von Anträgen der betroffenen Person auf Ausübung ihrer Rechte gemäß dem Gesetz;
3.12.2 die Beantwortung von Mitteilungen der ICO in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen dieser Vereinbarung, einschließlich der unverzüglichen Benachrichtigung des anderen Vertragspartners über eine solche Mitteilung;
3.12.3 Ergreifung von Maßnahmen zur Bewältigung von Datensicherheitsvorfällen, gegebenenfalls einschließlich Maßnahmen zur Abmilderung ihrer möglichen negativen Auswirkungen;
3.12.4 auf Antrag unverzüglich personenbezogene Daten an einen Dritten zu übermitteln, wenn eine betroffene Person ihr Recht auf Datenübertragbarkeit ausüben möchte;
3.12.5 stellt anderen auf Anfrage alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der in dieser Anlage genannten Verpflichtungen nachzuweisen; und
3.13. Auf Verlangen des Veranstalters (nicht mehr als einmal pro Kalenderjahr) muss der Sponsor unverzüglich Fragebögen zur Informationssicherheit und zum Datenschutz ausfüllen und zurücksenden.
4. Nach Beendigung
4.1. Nach der Beendigung sind der Veranstalter und der Sponsor sowie jeder Unterverarbeiter verpflichtet:
4.1.1 alle Kopien von Datenträgern, auf denen personenbezogene Daten bereitgestellt wurden, sowie alle weiteren Kopien physisch zu vernichten;
4.1.2 alle in Papierform gespeicherten personenbezogenen Daten an die Gegenpartei zurückgeben;
4.1.3 alle in Soft Copy gespeicherten personenbezogenen Daten auf eine Weise zu löschen, die eine künftige Reaktivierung dieser Daten verhindert;
4.1.4 innerhalb von 14 Tagen nach einer solchen Aufforderung bescheinigen, dass die Anforderungen dieses Absatzes erfüllt wurden.
4.2. Wenn entweder der Veranstalter oder der Sponsor oder sein Auftragsverarbeiter oder Unterauftragsverarbeiter personenbezogene Daten aufbewahren muss, um geltendem Recht zu entsprechen, wird die betreffende Partei die andere Partei darüber informieren und diese personenbezogenen Daten nur in der in diesem Anhang beschriebenen Eigenschaft aufbewahren und die Verpflichtungen einhalten, soweit dies nach geltendem Recht zulässig ist.
5. Gewährleistung und Haftungsübernahme
5.1. Jede Partei sichert zu und gewährleistet, dass die in einer Antwort auf eine Anfrage der anderen Partei gemachten Angaben vollständig, wahrheitsgetreu und genau sind und ihr Geschäft oder ihre Praktiken im Hinblick auf ihre Fähigkeit, die Datenschutzgesetze und ihre Verpflichtungen im Rahmen dieser Vereinbarung einzuhalten, nicht falsch darstellen.
5.2. Führt eine Handlung oder Unterlassung einer Partei oder ihrer Auftragsverarbeiter oder Unterauftragsverarbeiter dazu, dass Daten, die im Rahmen dieser Vereinbarung übermittelt oder verarbeitet werden, verloren gehen oder so beeinträchtigt werden, dass sie unbrauchbar werden, so haftet diese Partei der anderen Partei für die Kosten der Wiederherstellung der Daten und/oder für die Kosten, die ihr und ihren Mitarbeitern bei der Wiederherstellung dieser Daten entstehen.
Aktivitäten der Datenverarbeitung
Anhang 1 zum Fahrplan
Was jede Partei in jeder Kategorie verarbeiten darf
1. Der Veranstalter und der Sponsor verarbeiten diese grundlegenden personenbezogenen Daten
1.1. Name
1.2. Adresse
1.3. E-Mail Adresse
1.4. Rufnummer
1.5. Produkt-, Dienstleistungs-, Technologie- oder sonstige geschäftsbezogene Informationen sowie Informationen über elektronische Kommunikation, die nur dann personenbezogene Daten sein können, wenn sie mit dem Namen oder der Identität der betroffenen Person verknüpft sind.
1.6. Technische Informationen im Zusammenhang mit der elektronischen Kommunikation, die nur dann personenbezogene Daten sind, wenn sie mit dem Namen oder der Identität der betroffenen Person verbunden sind
2. Verarbeitung der Daten dieser betroffenen Personen
Die Kunden oder potenziellen Kunden der Parteien, die die Produkte jetzt oder in Zukunft nutzen, sowie alle anderen Personen, deren Daten im Rahmen der Geschäftsbeziehungen zwischen den Parteien erfasst werden.
3. Warum und wie der Organisator und der Sponsor personenbezogene Daten verarbeiten sollen
3.1. Die personenbezogenen Daten werden verarbeitet, um die jeweiligen Verpflichtungen des Veranstalters und des Sponsors aus diesem Vertrag zu erfüllen.
3.2. Personenbezogene Daten werden in einer Weise verarbeitet, die für die Durchführung der Geschäfte des Sponsorings üblich und angemessen ist.
4. Aufbewahrungsfrist
4.1. Aus diesen Gründen können der Veranstalter und der Sponsor personenbezogene Daten zusammen mit vielen anderen Daten sechs Jahre lang aufbewahren:
4.1.1. für buchhalterische und steuerliche Zwecke;
4.1.2. um Beweise zu erbringen, falls dies im Zusammenhang mit einem Rechtsanspruch erforderlich ist;
4.1.3. aus jedem anderen Grund, für den das Gesetz eine sechsjährige Verjährungsfrist vorsieht;
4.2. Tritt ein Ereignis ein, das den Veranstalter oder den Sponsor rechtmäßig dazu verpflichtet, die Daten über diesen Zeitraum hinaus aufzubewahren, so kann er dies tun.
