[Seite 1]

Bearbeitungshinweise <<

Die nachfolgenden Standarddatenschutzklauseln (oftmals auch Standardvertragsklauseln genannt) dienen dazu, einen personenbezogenen Datentransfer in eine Nicht-EU/EWR-Land zu ermöglichen (Artikel 46 Absatz 2 lit. C DSGVO) und wurde von der EU erlassen. Daher dürfen die nachfolgenden Regelungen nicht verändert werden.

Ausnahmen vom „Veränderungsverbot“ sind entsprechend farblich markiert; diese Passagen müssen ausgefüllt werden

Empfehlung: Bitte stimmen Sie die Nutzung dieser Standarddatenschutzklauseln mit dem Datenschutzbeauftragten ab.

Es existieren 4 Module an Standarddatenschutzklauseln, die in spezifischen Situationen genutzt werden sollen/müssen. Hierzu stellt die UIMC fünf Versionen bilingual zur Verfügung (deutsch/englisch):

› Vollständige Version (Inhalt: Modul 1-4) [vorliegende Version]; hierin sind die einzelnen Module farblich markiert

› Modul 1: Übermittlung von Verantwortlichen an Verantwortliche

› Modul 2: Übermittlung von Verantwortlichen an Auftragsverarbeiter

› Modul 3: Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter

› Modul 4: Übermittlung von Auftragsverarbeitern an Verantwortliche

[Tipp: Diese Seite 1 (Bearbeitungshinweise) sollte gelöscht werden, bevor Sie zum Vertragspartner versandt wird.]

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 1 von 75

[Seite 2]

STANDARDVERTRAGSKLAUSELN		STANDARD CONTRACTUAL CLAUSES
Modul 1 - Übermittlung von Verantwortlichen an Verantwortliche (orange)	Module 1 - Transfer controller to controller (orange) Module 2 - Transfer controller to processor (red) Module 3 - Transfer processor to processor (blue) Module 4 - Transfer processor to controller (green)	Module 1 - Transfer controller to controller (orange)
Modul 2- Übermittlung von Verantwortlichen an Auftragsverarbeiter (rot)		Module 2 - Transfer controller to processor (red)
Modul 3 - Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter		Module 3 - Transfer processor to processor (blue)
(blau)		Module 4 - Transfer processor to controller (green)
Modul 4 - Übermittlung von Auftragsverarbeitern an Verantwortliche (grün)
ABSCHNITT I		SECTION I
Klausel 1		Clause 1
Zweck und Anwendungsbereich		Purpose and scope
a) Mit diesen Standardvertragsklauseln soll sichergestellt werden, dass die	(a) The purpose of these standard contractual clauses is to ensure compliance with the requirements of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation) (1) for the transfer of personal data to a third country.	(a) The purpose of these standard contractual clauses is to ensure
Anforderungen der Verordnung (EU) 2016/679 des Europäischen Parlaments		compliance with the requirements of Regulation (EU) 2016/679 of the
und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der		European Parliament and of the Council of 27 April 2016 on the
Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur		protection of natural persons with regard to the processing of personal
Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (1) bei		data and on the free movement of such data (General Data Protection
der Übermittlung personenbezogener Daten an ein Drittland eingehalten		Regulation) (1) for the transfer of personal data to a third country.
werden.
b) Die Parteien:	(b) The Parties: (i) the natural or legal person(s), public authority/ies, agency/ies or other body/ies (hereinafter ‘entity/ies’) transferring the personal data, as listed in Annex I.A (hereinafter each ‘data exporter’), and (ii) the entity/ies in a third country receiving the personal data from the data exporter, directly or indirectly via another entity also Party to these Clauses, as listed in Annex I.A (hereinafter each ‘data importer’) have agreed to these standard contractual clauses (hereinafter: ‘Clauses’).	(b) The Parties:
i) die in Anhang I.A aufgeführte(n) natürliche(n) oder juristische(n)		(i) the natural or legal person(s), public authority/ies, agency/ies or other
Person(en), Behörde(n), Agentur(en) oder sonstige(n) Stelle(n) (im		body/ies (hereinafter ‘entity/ies’) transferring the personal data, as listed
Folgenden „Einrichtung(en)“), die die personenbezogenen Daten		in Annex I.A (hereinafter each ‘data exporter’), and
übermittelt/n (im Folgenden jeweils „Datenexporteur“), und		(ii) the entity/ies in a third country receiving the personal data from the
ii) die in Anhang I.A aufgeführte(n) Einrichtung(en) in einem Drittland, die die		data exporter, directly or indirectly via another entity also Party to these
personenbezogenen Daten direkt oder indirekt über eine andere Einrichtung,		Clauses, as listed in Annex I.A (hereinafter each ‘data importer’)
die ebenfalls Partei dieser Klauseln ist, erhält/erhalten (im Folgenden jeweils		have agreed to these standard contractual clauses (hereinafter:
„Datenimporteur“),		‘Clauses’).
haben sich mit diesen Standardvertragsklauseln (im Folgenden „Klauseln“)
einverstanden erklärt.
c) Diese Klauseln gelten für die Übermittlung personenbezogener Daten		(c) These Clauses apply with respect to the transfer of personal data as
gemäß Anhang I.B.		specified in Annex I.B.
d) Die Anlage zu diesen Klauseln mit den darin enthaltenen Anhängen ist		(d) The Appendix to these Clauses containing the Annexes referred to
Bestandteil dieser Klauseln.		therein forms an integral part of these Clauses.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 2 von 75

[Seite 3]

Klausel 2		Clause 2
Wirkung und Unabänderbarkeit der Klauseln		Effect and invariability of the Clauses
a) Diese Klauseln enthalten geeignete Garantien, einschließlich	(a) These Clauses set out appropriate safeguards, including enforceable data subject rights and effective legal remedies, pursuant to Article 46(1) and Article 46(2)(c) of Regulation (EU) 2016/679 and, with respect to data transfers from controllers to processors and/or processors to processors, standard contractual clauses pursuant to Article 28(7) of Regulation (EU) 2016/679, provided they are not modified, except to select the appropriate Module(s) or to add or update information in the Appendix. This does not prevent the Parties from including the standard contractual clauses laid down in these Clauses in a wider contract and/or to add other clauses or additional safeguards, provided that they do not contradict, directly or indirectly, these Clauses or prejudice the fundamental rights or freedoms of data subjects.	(a) These Clauses set out appropriate safeguards, including
durchsetzbarer Rechte betroffener Personen und wirksamer Rechtsbehelfe		enforceable data subject rights and effective legal remedies, pursuant
gemäß Artikel 46 Absatz 1 und Artikel 46 Absatz 2 Buchstabe c der		to Article 46(1) and Article 46(2)(c) of Regulation (EU) 2016/679 and,
Verordnung (EU) 2016/679 sowie — in Bezug auf Datenübermittlungen von		with respect to data transfers from controllers to processors and/or
Verantwortlichen an Auftragsverarbeiter und/oder von Auftragsverarbeitern		processors to processors, standard contractual clauses pursuant to
an Auftragsverarbeiter — Standardvertragsklauseln gemäß Artikel 28		Article 28(7) of Regulation (EU) 2016/679, provided they are not
Absatz 7 der Verordnung (EU) 2016/679, sofern diese nicht geändert werden,		modified, except to select the appropriate Module(s) or to add or update
mit Ausnahme der Auswahl des entsprechenden Moduls oder der		information in the Appendix. This does not prevent the Parties from
entsprechenden Module oder der Ergänzung oder Aktualisierung von		including the standard contractual clauses laid down in these Clauses
Informationen in der Anlage. Dies hindert die Parteien nicht daran, die in		in a wider contract and/or to add other clauses or additional safeguards,
diesen Klauseln festgelegten Standardvertragsklauseln in einen		provided that they do not contradict, directly or indirectly, these Clauses
umfangreicheren Vertrag aufzunehmen und/oder weitere Klauseln oder		or prejudice the fundamental rights or freedoms of data subjects.
zusätzliche Garantien hinzuzufügen, sofern diese weder unmittelbar noch
mittelbar im Widerspruch zu diesen Klauseln stehen oder die Grundrechte
oder Grundfreiheiten der betroffenen Personen beschneiden.
b) Diese Klauseln gelten unbeschadet der Verpflichtungen, denen der		(b) These Clauses are without prejudice to obligations to which the data
Datenexporteur gemäß der Verordnung (EU) 2016/679 unterliegt.		exporter is subject by virtue of Regulation (EU) 2016/679.
Klausel 3		Clause 3
Drittbegünstigte		Third-party beneficiaries
a) Betroffene Personen können diese Klauseln als Drittbegünstigte	(a) Data subjects may invoke and enforce these Clauses, as third-party beneficiaries, against the data exporter and/or data importer, with the following exceptions: (i) Clause 1, Clause 2, Clause 3, Clause 6, Clause 7; (ii) Clause 8 – Module One: Clause 8.5 (e) and Clause 8.9(b); Module Two: Clause 8.1(b), 8.9(a), (c), (d) and (e); Module Three: Clause 8.1(a), (c) and (d) and Clause 8.9(a), (c), (d), (e), (f) and (g); Module Four: Clause 8.1 (b) and Clause 8.3(b); (iii) Clause 9 – Module Two: Clause 9(a), (c), (d) and (e); Module Three: Clause 9(a), (c), (d) and (e);	(a) Data subjects may invoke and enforce these Clauses, as third-party
gegenüber dem Datenexporteur und/oder dem Datenimporteur geltend		beneficiaries, against the data exporter and/or data importer, with the
machen und durchsetzen, mit folgenden Ausnahmen:		following exceptions:
i) Klausel 1, Klausel 2, Klausel 3, Klausel 6, Klausel 7		(i) Clause 1, Clause 2, Clause 3, Clause 6, Clause 7;
ii) Klausel 8 — Modul eins: Klausel 8.5 Buchstabe e und Klausel 8.9		(ii) Clause 8 – Module One: Clause 8.5 (e) and Clause 8.9(b); Module
Buchstabe b Modul zwei: Klausel 8.1 Buchstabe b, Klausel 8.9 Buchstaben a,		Two: Clause 8.1(b), 8.9(a), (c), (d) and (e); Module Three: Clause 8.1(a),
c, d und e Modul drei: Klausel 8.1 Buchstaben a, c und d und Klausel 8.9		(c) and (d) and Clause 8.9(a), (c), (d), (e), (f) and (g); Module Four:
Buchstaben a, c, d, e, f und g Modul vier: Klausel 8.1 Buchstabe b und Klausel		Clause 8.1 (b) and Clause 8.3(b);
8.3 Buchstabe b		(iii) Clause 9 – Module Two: Clause 9(a), (c), (d) and (e); Module Three:
iii) Klausel 9 — Modul zwei: Klausel 9 Buchstaben a, c, d und e Modul drei:		Clause 9(a), (c), (d) and (e);
Klausel 9 Buchstaben a, c, d und e

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 3 von 75

[Seite 4]

iv) Klausel 12 — Modul eins: Klausel 12 Buchstaben a und d Modul zwei:	(iv) Clause 12 – Module One: Clause 12(a) and (d); Module Two: Clause 12(a), (d) and (f); Module Three: Clause 12(a), (d) and (f); (v) Clause 13; (vi) Clause 15.1(c), (d) and (e); (vii) Clause 16(e); (viii) Clause 18 – Module One: Clause 18(a) and (b); Module Two: Clause 18(a) and (b); Module Three: Clause 18(a) and (b); Module Four: Clause 18.	(iv) Clause 12 – Module One: Clause 12(a) and (d); Module Two: Clause
Klausel 12 Buchstaben a, d und f Modul drei: Klausel 12 Buchstaben a, d und		12(a), (d) and (f); Module Three: Clause 12(a), (d) and (f);
f		(v) Clause 13;
v) Klausel 13		(vi) Clause 15.1(c), (d) and (e);
vi) Klausel 15.1 Buchstaben c, d und e		(vii) Clause 16(e);
vii) Klausel 16 Buchstabe e		(viii) Clause 18 – Module One: Clause 18(a) and (b); Module Two:
viii) Klausel 18 — Modul eins: Klausel 18 Buchstaben a und b Modul zwei:		Clause 18(a) and (b); Module Three: Clause 18(a) and (b); Module Four:
Klausel 18 Buchstaben a und b Modul drei: Klausel 18 Buchstaben a und b		Clause 18.
Modul vier: Klausel 18
b) Die Rechte betroffener Personen gemäß der Verordnung (EU) 2016/679		(b) Paragraph (a) is without prejudice to rights of data subjects under
bleiben von Buchstabe a unberührt.		Regulation (EU) 2016/679.
Klausel 4		Clause 4
Auslegung		Interpretation
a) Werden in diesen Klauseln in der Verordnung (EU) 2016/679 definierte		(a) Where these Clauses use terms that are defined in Regulation (EU)
Begriffe verwendet, so haben diese Begriffe dieselbe Bedeutung wie in dieser		2016/679, those terms shall have the same meaning as in that
Verordnung.		Regulation.
b) Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU)		(b) These Clauses shall be read and interpreted in the light of the
2016/679 auszulegen.		provisions of Regulation (EU) 2016/679.
c) Diese Klauseln dürfen nicht in einer Weise ausgelegt werden, die mit den	(c) These Clauses shall not be interpreted in a way that conflicts with rights and obligations provided for in Regulation (EU) 2016/679.	(c) These Clauses shall not be interpreted in a way that conflicts with
in der Verordnung (EU) 2016/679 vorgesehenen Rechten und Pflichten im		rights and obligations provided for in Regulation (EU) 2016/679.
Widerspruch steht.
Klausel 5		Clause 5
Vorrang		Hierarchy
Im Falle eines Widerspruchs zwischen diesen Klauseln und den		In the event of a contradiction between these Clauses and the
Bestimmungen von damit zusammenhängenden Vereinbarungen zwischen		provisions of related agreements between the Parties, existing at the
den Parteien, die zu dem Zeitpunkt bestehen, zu dem diese Klauseln		time these Clauses are agreed or entered into thereafter, these Clauses
vereinbart oder eingegangen werden, haben diese Klauseln Vorrang.		shall prevail.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 4 von 75

[Seite 5]

	Klausel 6		Clause 6
	Beschreibung der Datenübermittlung(en)		Description of the transfer(s)
	Die Einzelheiten der Datenübermittlung(en), insbesondere die Kategorien der		The details of the transfer(s), and in particular the categories of personal
	übermittelten personenbezogenen Daten und der/die Zweck(e), zu		data that are transferred and the purpose(s) for which they are
	dem/denen sie übermittelt werden, sind in Anhang I.B aufgeführt.		transferred, are specified in Annex I.B.
	Klausel 7 — fakultativ		Clause 7 – Optional
	Kopplungsklausel		Docking clause
	a) Eine Einrichtung, die nicht Partei dieser Klauseln ist, kann diesen Klauseln		(a) An entity that is not a Party to these Clauses may, with the
	mit Zustimmung der Parteien jederzeit entweder als Datenexporteur oder als		agreement of the Parties, accede to these Clauses at any time, either
	Datenimporteur beitreten, indem sie die Anlage ausfüllt und Anhang I.A		as a data exporter or as a data importer, by completing the Appendix
	unterzeichnet.		and signing Annex I.A.
	b) Nach Ausfüllen der Anlage und Unterzeichnung von Anhang I.A wird die		(b) Once it has completed the Appendix and signed Annex I.A, the
	beitretende Einrichtung Partei dieser Klauseln und hat die Rechte und		acceding entity shall become a Party to these Clauses and have the
	Pflichten eines Datenexporteurs oder eines Datenimporteurs entsprechend		rights and obligations of a data exporter or data importer in accordance
	ihrer Bezeichnung in Anhang I.A.		with its designation in Annex I.A.
	c) Für den Zeitraum vor ihrem Beitritt als Partei erwachsen der beitretenden		(c) The acceding entity shall have no rights or obligations arising under
	Einrichtung keine Rechte oder Pflichten aus diesen Klauseln.		these Clauses from the period prior to becoming a Party.
	ABSCHNITT II — PFLICHTEN DER PARTEIEN		SECTION II – OBLIGATIONS OF THE PARTIES
	Klausel 8		Clause 8
	Datenschutzgarantien		Data protection safeguards
	Der Datenexporteur versichert, sich im Rahmen des Zumutbaren davon		The data exporter warrants that it has used reasonable efforts to
	überzeugt zu haben, dass der Datenimporteur — durch die Umsetzung		determine that the data importer is able, through the implementation of
	geeigneter technischer und organisatorischer Maßnahmen — in der Lage ist,		appropriate technical and organisational measures, to satisfy its
	seinen Pflichten aus diesen Klauseln nachzukommen.		obligations under these Clauses.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 5 von 75

[Seite 6]

MODUL EINS: Übermittlung von Verantwortlichen an Verantwortliche		MODULE ONE: Transfer controller to controller
8.1. Zweckbindung		8.1 Purpose limitation
Der Datenimporteur verarbeitet die personenbezogenen Daten nur für den/die		The data importer shall process the personal data only for the specific
in Anhang I.B genannten spezifischen Zweck(e) der Übermittlung. Er darf die		purpose(s) of the transfer, as set out in Annex I.B. It may only process
personenbezogenen Daten nur dann für einen anderen Zweck verarbeiten,		the personal data for another purpose:
i) wenn er die vorherige Einwilligung der betroffenen Person eingeholt hat,		(i) where it has obtained the data subject’s prior consent;
ii) wenn dies zur Geltendmachung, Ausübung oder Verteidigung von		(ii) where necessary for the establishment, exercise or defence of legal
Rechtsansprüchen im Zusammenhang mit bestimmten Verwaltungs-,		claims in the context of specific administrative, regulatory or judicial
Gerichts- oder regulatorischen Verfahren erforderlich ist oder		proceedings; or
iii) wenn dies zum Schutz lebenswichtiger Interessen der betroffenen Person		(iii) where necessary in order to protect the vital interests of the data
oder einer anderen natürlichen Person erforderlich ist.		subject or of another natural person.
8.2. Transparenz		8.2 Transparency
a) Damit betroffene Personen ihre Rechte gemäß Klausel 10 wirksam		(a) In order to enable data subjects to effectively exercise their rights
ausüben können, teilt der Datenimporteur ihnen entweder direkt oder über		pursuant to Clause 10, the data importer shall inform them, either
den Datenexporteur Folgendes mit:		directly or through the data exporter:
i) seinen Namen und seine Kontaktdaten,		(i) of its identity and contact details;
ii) die Kategorien der verarbeiteten personenbezogenen Daten,		(ii) of the categories of personal data processed;
iii) das Recht auf Erhalt einer Kopie dieser Klauseln,		(iii) of the right to obtain a copy of these Clauses;
iv) wenn er eine Weiterübermittlung der personenbezogenen Daten an Dritte		(iv) where it intends to onward transfer the personal data to any third
beabsichtigt, den Empfänger oder die Kategorien von Empfängern (je nach		party/ies, of the recipient or categories of recipients (as appropriate with
Bedarf zur Bereitstellung aussagekräftiger Informationen), den Zweck und		a view to providing meaningful information), the purpose of such onward
den Grund einer solchen Weiterübermittlung gemäß Klausel 8.7.		transfer and the ground therefore pursuant to Clause 8.7.
b) Buchstabe a findet keine Anwendung, wenn die betroffene Person bereits	(b) Paragraph (a) shall not apply where the data subject already has the information, including when such information has already been provided by the data exporter, or providing the information proves impossible or would involve a disproportionate effort for the data importer. In the latter case, the data importer shall, to the extent possible, make the information publicly available.	(b) Paragraph (a) shall not apply where the data subject already has the
über die Informationen verfügt, einschließlich in dem Fall, wenn diese		information, including when such information has already been provided
Informationen bereits vom Datenexporteur bereitgestellt wurden, oder wenn		by the data exporter, or providing the information proves impossible or
sich die Bereitstellung der Informationen als nicht möglich erweist oder einen		would involve a disproportionate effort for the data importer. In the latter
unverhältnismäßigen Aufwand für den Datenimporteur mit sich bringen		case, the data importer shall, to the extent possible, make the
würde. Im letzteren Fall macht der Datenimporteur die Informationen, soweit		information publicly available.
möglich, öffentlich zugänglich.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 6 von 75

[Seite 7]

	c) Die Parteien stellen der betroffenen Person auf Anfrage eine Kopie dieser	(c) On request, the Parties shall make a copy of these Clauses, including the Appendix as completed by them, available to the data subject free of charge. To the extent necessary to protect business secrets or other confidential information, including personal data, the Parties may redact part of the text of the Appendix prior to sharing a copy, but shall provide a meaningful summary where the data subject would otherwise not be able to understand its content or exercise his/her rights. On request, the Parties shall provide the data subject with the reasons for the redactions, to the extent possible without revealing the redacted information.	(c) On request, the Parties shall make a copy of these Clauses,
	Klauseln, einschließlich der von ihnen ausgefüllten Anlage, unentgeltlich zur		including the Appendix as completed by them, available to the data
	Verfügung. Soweit es zum Schutz von Geschäftsgeheimnissen oder anderen		subject free of charge. To the extent necessary to protect business
	vertraulichen Informationen, einschließlich personenbezogener Daten,		secrets or other confidential information, including personal data, the
	notwendig ist, können die Parteien Teile des Textes der Anlage vor der		Parties may redact part of the text of the Appendix prior to sharing a
	Weitergabe einer Kopie unkenntlich machen; sie legen jedoch eine		copy, but shall provide a meaningful summary where the data subject
	aussagekräftige Zusammenfassung vor, wenn die betroffene Person		would otherwise not be able to understand its content or exercise his/her
	andernfalls den Inhalt der Anlage nicht verstehen würde oder ihre Rechte		rights. On request, the Parties shall provide the data subject with the
	nicht ausüben könnte. Auf Anfrage teilen die Parteien der betroffenen Person		reasons for the redactions, to the extent possible without revealing the
	die Gründe für die Schwärzungen so weit wie möglich mit, ohne die		redacted information.
	geschwärzten Informationen offenzulegen.
	d) Die Buchstaben a bis c gelten unbeschadet der Pflichten des	(d) Paragraphs (a) to (c) are without prejudice to the obligations of the data exporter under Articles 13 and 14 of Regulation (EU) 2016/679.	(d) Paragraphs (a) to (c) are without prejudice to the obligations of the
	Datenexporteurs gemäß den Artikeln 13 und 14 der Verordnung (EU)		data exporter under Articles 13 and 14 of Regulation (EU) 2016/679.
	2016/679.
	8.3. Richtigkeit und Datenminimierung		8.3 Accuracy and data minimisation
	a) Jede Partei stellt sicher, dass die personenbezogenen Daten sachlich		(a) Each Party shall ensure that the personal data is accurate and,
	richtig und erforderlichenfalls auf dem neuesten Stand sind. Der		where necessary, kept up to date. The data importer shall take every
	Datenimporteur trifft alle angemessenen Maßnahmen, um sicherzustellen,		reasonable step to ensure that personal data that is inaccurate, having
	dass personenbezogene Daten, die im Hinblick auf den/die Zweck(e) der		regard to the purpose(s) of processing, is erased or rectified without
	Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden.		delay.
	b) Stellt eine der Parteien fest, dass die von ihr übermittelten oder erhaltenen		(b) If one of the Parties becomes aware that the personal data it has
	personenbezogenen Daten unrichtig oder veraltet sind, unterrichtet sie		transferred or received is inaccurate, or has become outdated, it shall
	unverzüglich die andere Partei.		inform the other Party without undue delay.
	c) Der Datenimporteur stellt sicher, dass die personenbezogenen Daten		(c) The data importer shall ensure that the personal data is adequate,
	angemessen und erheblich sowie auf das für den/die Zweck(e) ihrer		relevant and limited to what is necessary in relation to the purpose(s) of
	Verarbeitung notwendige Maß beschränkt sind.		processing.
	8.4. Speicherbegrenzung		8.4 Storage limitation
Der Datenimporteur speichert die personenbezogenen Daten nur so lange, wie es für den/die Zweck(e), für den/die sie verarbeitet werden, erforderlich ist. Er trifft geeignete technische oder organisatorische Maßnahmen, um die Einhaltung dieser Verpflichtung sicherzustellen; hierzu zählen auch die	Der Datenimporteur speichert die personenbezogenen Daten nur so lange,		The data importer shall retain the personal data for no longer than
	wie es für den/die Zweck(e), für den/die sie verarbeitet werden, erforderlich		necessary for the purpose(s) for which it is processed. It shall put in
	ist. Er trifft geeignete technische oder organisatorische Maßnahmen, um die		place appropriate technical or organisational measures to ensure
	Einhaltung dieser Verpflichtung sicherzustellen; hierzu zählen auch die		compliance with this obligation, including erasure or anonymisation (1)
			of the data and all back-ups at the end of the retention period.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 7 von 75

[Seite 8]

	Löschung oder Anonymisierung1 der Daten und aller Sicherungskopien am
	Ende der Speicherfrist.
	8.5. Sicherheit der Verarbeitung		8.5 Security of processing
	a) Der Datenimporteur und — während der Datenübermittlung — auch der	(a) The data importer and, during transmission, also the data exporter shall implement appropriate technical and organisational measures to ensure the security of the personal data, including protection against a breach of security leading to accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access (hereinafter ‘personal data breach’). In assessing the appropriate level of security, they shall take due account of the state of the art, the costs of implementation, the nature, scope, context and purpose(s) of processing and the risks involved in the processing for the data subject. The Parties shall in particular consider having recourse to encryption or pseudonymisation, including during transmission, where the purpose of processing can be fulfilled in that manner.	(a) The data importer and, during transmission, also the data exporter
	Datenexporteur treffen geeignete technische und organisatorische		shall implement appropriate technical and organisational measures to
	Maßnahmen, um die Sicherheit der personenbezogenen Daten zu		ensure the security of the personal data, including protection against a
	gewährleisten, einschließlich des Schutzes vor einer Verletzung der		breach of security leading to accidental or unlawful destruction, loss,
	Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum		alteration, unauthorised disclosure or access (hereinafter ‘personal data
	Verlust, zur Veränderung oder zur unbefugten Offenlegung von		breach’). In assessing the appropriate level of security, they shall take
	beziehungsweise zum unbefugten Zugang zu den personenbezogenen Daten		due account of the state of the art, the costs of implementation, the
	führt (im Folgenden „Verletzung des Schutzes personenbezogener Daten“).		nature, scope, context and purpose(s) of processing and the risks
	Bei der Beurteilung des angemessenen Schutzniveaus tragen sie dem Stand		involved in the processing for the data subject. The Parties shall in
	der Technik, den Implementierungskosten, der Art, dem Umfang, den		particular consider having recourse to encryption or pseudonymisation,
	Umständen und dem/den Zweck(en) der Verarbeitung sowie den mit der		including during transmission, where the purpose of processing can be
	Verarbeitung verbundenen Risiken für die betroffene Person gebührend		fulfilled in that manner.
	Rechnung. Die Parteien ziehen insbesondere eine Verschlüsselung oder
	Pseudonymisierung, auch während der Datenübermittlung, in Betracht, wenn
	dadurch der Verarbeitungszweck erfüllt werden kann.
	b) Die Parteien haben sich auf die in Anhang II aufgeführten technischen und		(b) The Parties have agreed on the technical and organisational
	organisatorischen Maßnahmen geeinigt. Der Datenimporteur führt		measures set out in Annex II. The data importer shall carry out regular
	regelmäßige Kontrollen durch, um sicherzustellen, dass diese Maßnahmen		checks to ensure that these measures continue to provide an
	weiterhin ein angemessenes Schutzniveau bieten.		appropriate level of security.
	c) Der Datenimporteur gewährleistet, dass sich die zur Verarbeitung der	(c) The data importer shall ensure that persons authorised to process the personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality.	(c) The data importer shall ensure that persons authorised to process
	personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet		the personal data have committed themselves to confidentiality or are
	haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht		under an appropriate statutory obligation of confidentiality.
	unterliegen.
d) Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Datenimporteur gemäß diesen Klauseln ergreift der Datenimporteur geeignete Maßnahmen zur Behebung der Verletzung des Schutzes	d) Im Falle einer Verletzung des Schutzes personenbezogener Daten im		(d) In the event of a personal data breach concerning personal data
	Zusammenhang mit der Verarbeitung personenbezogener Daten durch den		processed by the data importer under these Clauses, the data importer
	Datenimporteur gemäß diesen Klauseln ergreift der Datenimporteur		shall take appropriate measures to address the personal data breach,
	geeignete Maßnahmen zur Behebung der Verletzung des Schutzes		including measures to mitigate its possible adverse effects.

1 Die Daten müssen in einer Weise anonymisiert werden, dass eine Person im Einklang mit Erwägungsgrund 26 der Verordnung (EU) 2016/679 nicht mehr identifizierbar ist; außerdem muss dieser Vorgang unumkehrbar sein. / This requires rendering the data anonymous in such a way that the individual is no longer identifiable by anyone, in line with recital 26 of Regulation (EU) 2016/679, and that this process is irreversible.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 8 von 75

[Seite 9]

personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung
ihrer möglichen nachteiligen Auswirkungen.
e) Hat die Verletzung des Schutzes personenbezogener Daten	(e) In case of a personal data breach that is likely to result in a risk to the rights and freedoms of natural persons, the data importer shall without undue delay notify both the data exporter and the competent supervisory authority pursuant to Clause 13. Such notification shall contain i) a description of the nature of the breach (including, where possible, categories and approximate number of data subjects and personal data records concerned), ii) its likely consequences, iii) the measures taken or proposed to address the breach, and iv) the details of a contact point from whom more information can be obtained. To the extent it is not possible for the data importer to provide all the information at the same time, it may do so in phases without undue further delay.	(e) In case of a personal data breach that is likely to result in a risk to
voraussichtlich ein Risiko für die persönlichen Rechte und Freiheiten		the rights and freedoms of natural persons, the data importer shall
natürlicher Personen zur Folge, meldet der Datenimporteur die Verletzung		without undue delay notify both the data exporter and the competent
unverzüglich sowohl dem Datenexporteur als auch der gemäß Klausel 13		supervisory authority pursuant to Clause 13. Such notification shall
festgelegten zuständigen Aufsichtsbehörde. Diese Meldung enthält i) eine		contain i) a description of the nature of the breach (including, where
Beschreibung der Art der Verletzung (soweit möglich, mit Angabe der		possible, categories and approximate number of data subjects and
Kategorien und der ungefähren Zahl der betroffenen Personen und der		personal data records concerned), ii) its likely consequences, iii) the
ungefähren Zahl der betroffenen personenbezogenen Datensätze), ii) ihre		measures taken or proposed to address the breach, and iv) the details
wahrscheinlichen Folgen, iii) die ergriffenen oder vorgeschlagenen		of a contact point from whom more information can be obtained. To the
Maßnahmen zur Behebung der Verletzung und iv) die Kontaktdaten einer		extent it is not possible for the data importer to provide all the information
Anlaufstelle, bei der weitere Informationen eingeholt werden können. Soweit		at the same time, it may do so in phases without undue further delay.
es dem Datenimporteur nicht möglich ist, alle Informationen zur gleichen Zeit
bereitzustellen, kann er diese Informationen ohne unangemessene weitere
Verzögerung schrittweise zur Verfügung stellen.
f) Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich	(f) In case of a personal data breach that is likely to result in a high risk to the rights and freedoms of natural persons, the data importer shall also notify without undue delay the data subjects concerned of the personal data breach and its nature, if necessary in cooperation with the data exporter, together with the information referred to in paragraph (e), points ii) to iv), unless the data importer has implemented measures to significantly reduce the risk to the rights or freedoms of natural persons, or notification would involve disproportionate efforts. In the latter case, the data importer shall instead issue a public communication or take a similar measure to inform the public of the personal data breach.	(f) In case of a personal data breach that is likely to result in a high risk
ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher		to the rights and freedoms of natural persons, the data importer shall
Personen zur Folge, so benachrichtigt der Datenimporteur ebenfalls die		also notify without undue delay the data subjects concerned of the
jeweiligen betroffenen Personen unverzüglich von der Verletzung des		personal data breach and its nature, if necessary in cooperation with the
Schutzes personenbezogener Daten und der Art der Verletzung,		data exporter, together with the information referred to in paragraph (e),
erforderlichenfalls in Zusammenarbeit mit dem Datenexporteur, unter Angabe		points ii) to iv), unless the data importer has implemented measures to
der unter Buchstabe e Ziffern ii bis iv genannten Informationen, es sei denn,		significantly reduce the risk to the rights or freedoms of natural persons,
der Datenimporteur hat Maßnahmen ergriffen, um das Risiko für die Rechte		or notification would involve disproportionate efforts. In the latter case,
oder Freiheiten natürlicher Personen erheblich zu mindern, oder die		the data importer shall instead issue a public communication or take a
Benachrichtigung wäre mit einem unverhältnismäßigen Aufwand verbunden.		similar measure to inform the public of the personal data breach.
Im letzteren Fall gibt der Datenimporteur stattdessen eine öffentliche
Bekanntmachung heraus oder ergreift eine vergleichbare Maßnahme, um die
Öffentlichkeit über die Verletzung des Schutzes personenbezogener Daten
zu informieren.
g) Der Datenimporteur dokumentiert alle maßgeblichen Fakten im	(g) The data importer shall document all relevant facts relating to the personal data breach, including its effects and any remedial action taken, and keep a record thereof.	(g) The data importer shall document all relevant facts relating to the
Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten,		personal data breach, including its effects and any remedial action
einschließlich ihrer Auswirkungen und etwaiger ergriffener		taken, and keep a record thereof.
Abhilfemaßnahmen, und führt Aufzeichnungen darüber.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 9 von 75

[Seite 10]

8.6. Sensible Daten		8.6 Sensitive data
Sofern die Übermittlung personenbezogene Daten umfasst, aus denen die	Where the transfer involves personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, genetic data, or biometric data for the purpose of uniquely identifying a natural person, data concerning health or a person’s sex life or sexual orientation, or data relating to criminal convictions or offences (hereinafter ‘sensitive data’), the data importer shall apply specific restrictions and/or additional safeguards adapted to the specific nature of the data and the risks involved. This may include restricting the personnel permitted to access the personal data, additional security measures (such as pseudonymisation) and/or additional restrictions with respect to further disclosure.	Where the transfer involves personal data revealing racial or ethnic
rassische oder ethnische Herkunft, politische Meinungen, religiöse oder		origin, political opinions, religious or philosophical beliefs, or trade union
weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit		membership, genetic data, or biometric data for the purpose of uniquely
hervorgehen, oder die genetische Daten oder biometrische Daten zum Zweck		identifying a natural person, data concerning health or a person’s sex
der eindeutigen Identifizierung einer natürlichen Person, Daten über die		life or sexual orientation, or data relating to criminal convictions or
Gesundheit, das Sexualleben oder die sexuelle Ausrichtung einer Person		offences (hereinafter ‘sensitive data’), the data importer shall apply
oder Daten über strafrechtliche Verurteilungen oder Straftaten enthalten (im		specific restrictions and/or additional safeguards adapted to the specific
Folgenden „sensible Daten“), wendet der Datenimporteur spezielle		nature of the data and the risks involved. This may include restricting
Beschränkungen und/oder zusätzliche Garantien an, die an die spezifische		the personnel permitted to access the personal data, additional security
Art der Daten und die damit verbundenen Risiken angepasst sind. Dies kann		measures (such as pseudonymisation) and/or additional restrictions
die Beschränkung des Personals, das Zugriff auf die personenbezogenen		with respect to further disclosure.
Daten hat, zusätzliche Sicherheitsmaßnahmen (wie Pseudonymisierung)
und/oder zusätzliche Beschränkungen in Bezug auf die weitere Offenlegung
umfassen.
8.7. Weiterübermittlungen		8.7 Onward transfers
Der Datenimporteur darf die personenbezogenen Daten nicht an Dritte	The data importer shall not disclose the personal data to a third party located outside the European Union (2) (in the same country as the data importer or in another third country, hereinafter ‘onward transfer’) unless the third party is or agrees to be bound by these Clauses, under the appropriate Module. Otherwise, an onward transfer by the data importer may only take place if:	The data importer shall not disclose the personal data to a third party
weitergeben, die (in demselben Land wie der Datenimporteur oder in einem		located outside the European Union (2) (in the same country as the data
anderen Drittland) außerhalb der Europäischen Union2 ansässig sind (im		importer or in another third country, hereinafter ‘onward transfer’) unless
Folgenden „Weiterübermittlung“), es sei denn, der Dritte ist im Rahmen des		the third party is or agrees to be bound by these Clauses, under the
betreffenden Moduls an diese Klauseln gebunden oder erklärt sich mit der		appropriate Module. Otherwise, an onward transfer by the data importer
Bindung daran einverstanden. Andernfalls ist eine Weiterübermittlung durch		may only take place if:
den Datenimporteur nur in folgenden Fällen zulässig:
i) Sie erfolgt an ein Land, für das ein Angemessenheitsbeschluss nach	(i) it is to a country benefitting from an adequacy decision pursuant to Article 45 of Regulation (EU) 2016/679 that covers the onward transfer;	(i) it is to a country benefitting from an adequacy decision pursuant to
Artikel 45 der Verordnung (EU) 2016/679 gilt, der die Weiterübermittlung		Article 45 of Regulation (EU) 2016/679 that covers the onward transfer;
abdeckt,

2 Das Abkommen über den Europäischen Wirtschaftsraum (EWR-Abkommen) regelt die Einbeziehung der drei EWR-Staaten Island, Liechtenstein und Norwegen in den Binnenmarkt der Europäischen Union. Das Datenschutzrecht der Union, darunter die Verordnung (EU) 2016/679, ist in das EWR-Abkommen einbezogen und wurde in Anhang XI aufgenommen. Daher gilt eine Weitergabe durch den Datenimporteur an einen im EWR ansässigen Dritten nicht als Weiterübermittlung im Sinne dieser Klauseln. / The Agreement on the European Economic Area (EEA Agreement) provides for the extension of the European Union’s internal market to the three EEA States Iceland, Liechtenstein and Norway. The Union data protection legislation, including Regulation (EU) 2016/679, is covered by the EEA Agreement and has been incorporated into Annex XI thereto. Therefore, any disclosure by the data importer to a third party located in the EEA does not qualify as an onward transfer for the purpose of these Clauses.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 10 von 75

[Seite 11]

ii) der Dritte gewährleistet auf andere Weise geeignete Garantien gemäß		(ii) the third party otherwise ensures appropriate safeguards pursuant to
Artikel 46 oder Artikel 47 der Verordnung (EU) 2016/679 im Hinblick auf die		Articles 46 or 47 of Regulation (EU) 2016/679 with respect to the
betreffende Verarbeitung,		processing in question;
iii) der Dritte geht mit dem Datenimporteur ein bindendes Instrument ein, mit		(iii) the third party enters into a binding instrument with the data importer
dem das gleiche Datenschutzniveau wie gemäß diesen Klauseln		ensuring the same level of data protection as under these Clauses, and
gewährleistet wird, und der Datenimporteur stellt dem Datenexporteur eine		the data importer provides a copy of these safeguards to the data
Kopie dieser Garantien zur Verfügung,		exporter;
iv) die Weiterübermittlung ist zur Geltendmachung, Ausübung oder		(iv) it is necessary for the establishment, exercise or defence of legal
Verteidigung von Rechtsansprüchen im Zusammenhang mit bestimmten		claims in the context of specific administrative, regulatory or judicial
Verwaltungs-, Gerichts- oder regulatorischen Verfahren erforderlich,		proceedings;
v) die Weiterübermittlung ist erforderlich, um lebenswichtige Interessen der		(v) it is necessary in order to protect the vital interests of the data subject
betroffenen Person oder einer anderen natürlichen Person zu schützen, oder		or of another natural person; or
vi) – falls keine der anderen Bedingungen erfüllt ist — der Datenimporteur hat	(vi) where none of the other conditions apply, the data importer has obtained the explicit consent of the data subject for an onward transfer in a specific situation, after having informed him/her of its purpose(s), the identity of the recipient and the possible risks of such transfer to him/her due to the lack of appropriate data protection safeguards. In this case, the data importer shall inform the data exporter and, at the request of the latter, shall transmit to it a copy of the information provided to the data subject.	(vi) where none of the other conditions apply, the data importer has
die ausdrückliche Einwilligung der betroffenen Person zu einer		obtained the explicit consent of the data subject for an onward transfer
Weiterübermittlung in einem speziellen Fall eingeholt, nachdem er sie über		in a specific situation, after having informed him/her of its purpose(s),
den/die Zweck(e), die Identität des Empfängers und die ihr mangels		the identity of the recipient and the possible risks of such transfer to
geeigneter Datenschutzgarantien aus einer solchen Übermittlung		him/her due to the lack of appropriate data protection safeguards. In this
möglicherweise erwachsenden Risiken informiert hat. In diesem Fall		case, the data importer shall inform the data exporter and, at the request
unterrichtet der Datenimporteur den Datenexporteur und übermittelt ihm auf		of the latter, shall transmit to it a copy of the information provided to the
dessen Verlangen eine Kopie der Informationen, die der betroffenen Person		data subject.
bereitgestellt wurden.
Jede Weiterübermittlung erfolgt unter der Bedingung, dass der		Any onward transfer is subject to compliance by the data importer with
Datenimporteur alle anderen Garantien gemäß diesen Klauseln,		all the other safeguards under these Clauses, in particular purpose
insbesondere die Zweckbindung, einhält.		limitation.
8.8. Verarbeitung unter der Aufsicht des Datenimporteurs		8.8 Processing under the authority of the data importer
Der Datenimporteur stellt sicher, dass jede ihm unterstellte Person,		The data importer shall ensure that any person acting under its
einschließlich eines Auftragsverarbeiters, diese Daten ausschließlich auf der		authority, including a processor, processes the data only on its
Grundlage seiner Weisungen verarbeitet.		instructions.
8.9. Dokumentation und Einhaltung der Klauseln		8.9 Documentation and compliance
a) Jede Partei muss nachweisen können, dass sie ihre Pflichten gemäß		(a) Each Party shall be able to demonstrate compliance with its
diesen Klauseln erfüllt. Insbesondere führt der Datenimporteur geeignete		obligations under these Clauses. In particular, the data importer shall

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 11 von 75

[Seite 12]

	Aufzeichnungen über die unter seiner Verantwortung durchgeführten		keep appropriate documentation of the processing activities carried out
	Verarbeitungstätigkeiten.		under its responsibility.
	b) Der Datenimporteur stellt der zuständigen Aufsichtsbehörde diese		(b) The data importer shall make such documentation available to the
	Aufzeichnungen auf Verlangen zur Verfügung.		competent supervisory authority on request.
	MODUL ZWEI: Übermittlung von Verantwortlichen an	MODULE TWO: Transfer controller to processor	MODULE TWO: Transfer controller to processor
	Auftragsverarbeiter
	8.1. Weisungen		8.1 Instructions
	a) Der Datenimporteur verarbeitet die personenbezogenen Daten nur auf		(a) The data importer shall process the personal data only on
	dokumentierte Weisung des Datenexporteurs. Der Datenexporteur kann		documented instructions from the data exporter. The data exporter may
	solche Weisungen während der gesamten Vertragslaufzeit erteilen.		give such instructions throughout the duration of the contract.
	b) Der Datenimporteur unterrichtet den Datenexporteur unverzüglich, wenn er		(b) The data importer shall immediately inform the data exporter if it is
	diese Weisungen nicht befolgen kann.		unable to follow those instructions.
	8.2. Zweckbindung		8.2 Purpose limitation
	Der Datenimporteur verarbeitet die personenbezogenen Daten nur für den/die		The data importer shall process the personal data only for the specific
	in Anhang I.B genannten spezifischen Zweck(e), sofern keine weiteren		purpose(s) of the transfer, as set out in Annex I.B, unless on further
	Weisungen des Datenexporteurs bestehen.		instructions from the data exporter.
	8.3. Transparenz		8.3 Transparency
Auf Anfrage stellt der Datenexporteur der betroffenen Person eine Kopie dieser Klauseln, einschließlich der von den Parteien ausgefüllten Anlage, unentgeltlich zur Verfügung. Soweit es zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen, einschließlich der in Anhang II beschriebenen Maßnahmen und personenbezogener Daten, notwendig ist, kann der Datenexporteur Teile des Textes der Anlage zu diesen Klauseln vor der Weitergabe einer Kopie unkenntlich machen; er legt jedoch eine aussagekräftige Zusammenfassung vor, wenn die betroffene Person andernfalls den Inhalt der Anlage nicht verstehen würde oder ihre Rechte nicht ausüben könnte. Auf Anfrage teilen die Parteien der betroffenen Person die Gründe für die Schwärzungen so weit wie möglich mit, ohne die geschwärzten Informationen offenzulegen. Diese	Auf Anfrage stellt der Datenexporteur der betroffenen Person eine Kopie		On request, the data exporter shall make a copy of these Clauses,
	dieser Klauseln, einschließlich der von den Parteien ausgefüllten Anlage,		including the Appendix as completed by the Parties, available to the
	unentgeltlich zur Verfügung. Soweit es zum Schutz von		data subject free of charge. To the extent necessary to protect business
	Geschäftsgeheimnissen oder anderen vertraulichen Informationen,		secrets or other confidential information, including the measures
	einschließlich der in Anhang II beschriebenen Maßnahmen und		described in Annex II and personal data, the data exporter may redact
	personenbezogener Daten, notwendig ist, kann der Datenexporteur Teile des		part of the text of the Appendix to these Clauses prior to sharing a copy,
	Textes der Anlage zu diesen Klauseln vor der Weitergabe einer Kopie		but shall provide a meaningful summary where the data subject would
	unkenntlich machen; er legt jedoch eine aussagekräftige Zusammenfassung		otherwise not be able to understand the its content or exercise his/her
	vor, wenn die betroffene Person andernfalls den Inhalt der Anlage nicht		rights. On request, the Parties shall provide the data subject with the
	verstehen würde oder ihre Rechte nicht ausüben könnte. Auf Anfrage teilen		reasons for the redactions, to the extent possible without revealing the
	die Parteien der betroffenen Person die Gründe für die Schwärzungen so weit		redacted information. This Clause is without prejudice to the obligations
	wie möglich mit, ohne die geschwärzten Informationen offenzulegen. Diese		of the data exporter under Articles 13 and 14 of Regulation (EU)
			2016/679.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 12 von 75

[Seite 13]

Klausel gilt unbeschadet der Pflichten des Datenexporteurs gemäß den
Artikeln 13 und 14 der Verordnung (EU) 2016/679.
8.4. Richtigkeit		8.4 Accuracy
Stellt der Datenimporteur fest, dass die erhaltenen personenbezogenen		If the data importer becomes aware that the personal data it has
Daten unrichtig oder veraltet sind, unterrichtet er unverzüglich den		received is inaccurate, or has become outdated, it shall inform the data
Datenexporteur. In diesem Fall arbeitet der Datenimporteur mit dem		exporter without undue delay. In this case, the data importer shall
Datenexporteur zusammen, um die Daten zu löschen oder zu berichtigen.		cooperate with the data exporter to erase or rectify the data.
8.5. Dauer der Verarbeitung und Löschung oder Rückgabe der Daten		8.5 Duration of processing and erasure or return of data
Die Daten werden vom Datenimporteur nur für die in Anhang I.B angegebene	Processing by the data importer shall only take place for the duration specified in Annex I.B. After the end of the provision of the processing services, the data importer shall, at the choice of the data exporter, delete all personal data processed on behalf of the data exporter and certify to the data exporter that it has done so, or return to the data exporter all personal data processed on its behalf and delete existing copies. Until the data is deleted or returned, the data importer shall continue to ensure compliance with these Clauses. In case of local laws applicable to the data importer that prohibit return or deletion of the personal data, the data importer warrants that it will continue to ensure compliance with these Clauses and will only process it to the extent and for as long as required under that local law. This is without prejudice to Clause 14, in particular the requirement for the data importer under Clause 14(e) to notify the data exporter throughout the duration of the contract if it has reason to believe that it is or has become subject to laws or practices not in line with the requirements under Clause 14(a).	Processing by the data importer shall only take place for the duration
Dauer verarbeitet. Nach Wahl des Datenexporteurs löscht der		specified in Annex I.B. After the end of the provision of the processing
Datenimporteur nach Beendigung der Erbringung der		services, the data importer shall, at the choice of the data exporter,
Datenverarbeitungsdienste alle im Auftrag des Datenexporteurs verarbeiteten		delete all personal data processed on behalf of the data exporter and
personenbezogenen Daten und bescheinigt dem Datenexporteur, dass dies		certify to the data exporter that it has done so, or return to the data
erfolgt ist, oder gibt dem Datenexporteur alle in seinem Auftrag verarbeiteten		exporter all personal data processed on its behalf and delete existing
personenbezogenen Daten zurück und löscht bestehende Kopien. Bis zur		copies. Until the data is deleted or returned, the data importer shall
Löschung oder Rückgabe der Daten stellt der Datenimporteur weiterhin die		continue to ensure compliance with these Clauses. In case of local laws
Einhaltung dieser Klauseln sicher. Falls für den Datenimporteur lokale		applicable to the data importer that prohibit return or deletion of the
Rechtsvorschriften gelten, die ihm die Rückgabe oder Löschung der		personal data, the data importer warrants that it will continue to ensure
personenbezogenen Daten untersagen, sichert der Datenimporteur zu, dass		compliance with these Clauses and will only process it to the extent and
er die Einhaltung dieser Klauseln auch weiterhin gewährleistet und diese		for as long as required under that local law. This is without prejudice to
Daten nur in dem Umfang und so lange verarbeitet, wie dies gemäß den		Clause 14, in particular the requirement for the data importer under
betreffenden lokalen Rechtsvorschriften erforderlich ist. Dies gilt unbeschadet		Clause 14(e) to notify the data exporter throughout the duration of the
von Klausel 14, insbesondere der Pflicht des Datenimporteurs gemäß		contract if it has reason to believe that it is or has become subject to
Klausel 14 Buchstabe e, den Datenexporteur während der Vertragslaufzeit zu		laws or practices not in line with the requirements under Clause 14(a).
benachrichtigen, wenn er Grund zu der Annahme hat, dass für ihn
Rechtsvorschriften oder Gepflogenheiten gelten oder gelten werden, die nicht
mit den Anforderungen in Klausel 14 Buchstabe a im Einklang stehen.
8.6. Sicherheit der Verarbeitung		8.6 Security of processing
a) Der Datenimporteur und, während der Datenübermittlung, auch der		(a) The data importer and, during transmission, also the data exporter
Datenexporteur treffen geeignete technische und organisatorische		shall implement appropriate technical and organisational measures to
Maßnahmen, um die Sicherheit der Daten zu gewährleisten, einschließlich		ensure the security of the data, including protection against a breach of
des Schutzes vor einer Verletzung der Sicherheit, die, ob unbeabsichtigt oder		security leading to accidental or unlawful destruction, loss, alteration,
unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur		unauthorised disclosure or access to that data (hereinafter ‘personal

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 13 von 75

[Seite 14]

	unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu	data breach’). In assessing the appropriate level of security, the Parties shall take due account of the state of the art, the costs of implementation, the nature, scope, context and purpose(s) of processing and the risks involved in the processing for the data subjects. The Parties shall in particular consider having recourse to encryption or pseudonymisation, including during transmission, where the purpose of processing can be fulfilled in that manner. In case of pseudonymisation, the additional information for attributing the personal data to a specific data subject shall, where possible, remain under the exclusive control of the data exporter. In complying with its obligations under this paragraph, the data importer shall at least implement the technical and organisational measures specified in Annex II. The data importer shall carry out regular checks to ensure that these measures continue to provide an appropriate level of security.	data breach’). In assessing the appropriate level of security, the Parties
	diesen Daten führt (im Folgenden „Verletzung des Schutzes		shall take due account of the state of the art, the costs of
	personenbezogener Daten“). Bei der Beurteilung des angemessenen		implementation, the nature, scope, context and purpose(s) of
	Schutzniveaus tragen die Parteien dem Stand der Technik, den		processing and the risks involved in the processing for the data subjects.
	Implementierungskosten, der Art, dem Umfang, den Umständen und dem/den		The Parties shall in particular consider having recourse to encryption or
	Zweck(en) der Verarbeitung sowie den mit der Verarbeitung verbundenen		pseudonymisation, including during transmission, where the purpose of
	Risiken für die betroffenen Personen gebührend Rechnung. Die Parteien		processing can be fulfilled in that manner. In case of pseudonymisation,
	ziehen insbesondere eine Verschlüsselung oder Pseudonymisierung, auch		the additional information for attributing the personal data to a specific
	während der Datenübermittlung, in Betracht, wenn dadurch der		data subject shall, where possible, remain under the exclusive control
	Verarbeitungszweck erfüllt werden kann. Im Falle einer Pseudonymisierung		of the data exporter. In complying with its obligations under this
	verbleiben die zusätzlichen Informationen, mit denen die personenbezogenen		paragraph, the data importer shall at least implement the technical and
	Daten einer speziellen betroffenen Person zugeordnet werden können, soweit		organisational measures specified in Annex II. The data importer shall
	möglich, unter der ausschließlichen Kontrolle des Datenexporteurs. Zur		carry out regular checks to ensure that these measures continue to
	Erfüllung seinen Pflichten gemäß diesem Absatz setzt der Datenimporteur		provide an appropriate level of security.
	mindestens die in Anhang II aufgeführten technischen und organisatorischen
	Maßnahmen um. Der Datenimporteur führt regelmäßige Kontrollen durch, um
	sicherzustellen, dass diese Maßnahmen weiterhin ein angemessenes
	Schutzniveau bieten.
	b) Der Datenimporteur gewährt seinem Personal nur insoweit Zugang zu den		(b) The data importer shall grant access to the personal data to
	personenbezogenen Daten, als dies für die Durchführung, Verwaltung und		members of its personnel only to the extent strictly necessary for the
	Überwachung des Vertrags unbedingt erforderlich ist. Er gewährleistet, dass		implementation, management and monitoring of the contract. It shall
	sich die zur Verarbeitung der personenbezogenen Daten befugten Personen		ensure that persons authorised to process the personal data have
	zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen		committed themselves to confidentiality or are under an appropriate
	Verschwiegenheitspflicht unterliegen.		statutory obligation of confidentiality.
	c) Im Falle einer Verletzung des Schutzes personenbezogener Daten im		(c) In the event of a personal data breach concerning personal data
	Zusammenhang mit der Verarbeitung personenbezogener Daten durch den		processed by the data importer under these Clauses, the data importer
	Datenimporteur gemäß diesen Klauseln ergreift der Datenimporteur		shall take appropriate measures to address the breach, including
	geeignete Maßnahmen zur Behebung der Verletzung, darunter auch		measures to mitigate its adverse effects. The data importer shall also
	Maßnahmen zur Abmilderung ihrer nachteiligen Auswirkungen. Zudem		notify the data exporter without undue delay after having become aware
	meldet der Datenimporteur dem Datenexporteur die Verletzung unverzüglich,		of the breach. Such notification shall contain the details of a contact
	nachdem sie ihm bekannt wurde. Diese Meldung enthält die Kontaktdaten		point where more information can be obtained, a description of the
	einer Anlaufstelle für weitere Informationen, eine Beschreibung der Art der		nature of the breach (including, where possible, categories and
	Verletzung (soweit möglich, mit Angabe der Kategorien und der ungefähren		approximate number of data subjects and personal data records
	Zahl der betroffenen Personen und der ungefähren Zahl der betroffenen		concerned), its likely consequences and the measures taken or
	personenbezogenen Datensätze), die wahrscheinlichen Folgen der		proposed to address the breach including, where appropriate, measures
	Verletzung und die ergriffenen oder vorgeschlagenen Maßnahmen zur		to mitigate its possible adverse effects. Where, and in so far as, it is not
	Behebung der Verletzung und gegebenenfalls Maßnahmen zur Abmilderung		possible to provide all information at the same time, the initial notification

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 14 von 75

[Seite 15]

etwaiger nachteiliger Auswirkungen. Wenn und soweit nicht alle	shall contain the information then available and further information shall, as it becomes available, subsequently be provided without undue delay.	shall contain the information then available and further information shall,
Informationen zur gleichen Zeit bereitgestellt werden können, enthält die		as it becomes available, subsequently be provided without undue delay.
ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen,
und weitere Informationen werden, sobald sie verfügbar sind, anschließend
ohne unangemessene Verzögerung bereitgestellt.
d) Unter Berücksichtigung der Art der Verarbeitung und der dem		(d) The data importer shall cooperate with and assist the data exporter
Datenimporteur zur Verfügung stehenden Informationen arbeitet der		to enable the data exporter to comply with its obligations under
Datenimporteur mit dem Datenexporteur zusammen und unterstützt ihn		Regulation (EU) 2016/679, in particular to notify the competent
dabei, seinen Pflichten gemäß der Verordnung (EU) 2016/679		supervisory authority and the affected data subjects, taking into account
nachzukommen, insbesondere die zuständige Aufsichtsbehörde und die		the nature of processing and the information available to the data
betroffenen Personen zu benachrichtigen.		importer.
8.7. Sensible Daten		8.7 Sensitive data
Soweit die Übermittlung personenbezogene Daten umfasst, aus denen die	Where the transfer involves personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, genetic data, or biometric data for the purpose of uniquely identifying a natural person, data concerning health or a person’s sex life or sexual orientation, or data relating to criminal convictions and offences (hereinafter ‘sensitive data’), the data importer shall apply the specific restrictions and/or additional safeguards described in Annex I.B.	Where the transfer involves personal data revealing racial or ethnic
rassische oder ethnische Herkunft, politische Meinungen, religiöse oder		origin, political opinions, religious or philosophical beliefs, or trade union
weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit		membership, genetic data, or biometric data for the purpose of uniquely
hervorgehen, oder die genetische Daten oder biometrische Daten zum Zweck		identifying a natural person, data concerning health or a person’s sex
der eindeutigen Identifizierung einer natürlichen Person, Daten über die		life or sexual orientation, or data relating to criminal convictions and
Gesundheit, das Sexualleben oder die sexuelle Ausrichtung einer Person		offences (hereinafter ‘sensitive data’), the data importer shall apply the
oder Daten über strafrechtliche Verurteilungen und Straftaten enthalten (im		specific restrictions and/or additional safeguards described in Annex I.B.
Folgenden „sensible Daten“), wendet der Datenimporteur die in Anhang I.B
beschriebenen speziellen Beschränkungen und/oder zusätzlichen Garantien
an.
8.8. Weiterübermittlungen		8.8 Onward transfers
Der Datenimporteur gibt die personenbezogenen Daten nur auf	The data importer shall only disclose the personal data to a third party on documented instructions from the data exporter. In addition, the data may only be disclosed to a third party located outside the European Union (3) (in the same country as the data importer or in another third	The data importer shall only disclose the personal data to a third party
dokumentierte Weisung des Datenexporteurs an Dritte weiter. Die Daten		on documented instructions from the data exporter. In addition, the data
dürfen zudem nur an Dritte weitergegeben werden, die (in demselben Land		may only be disclosed to a third party located outside the European
wie der Datenimporteur oder in einem anderen Drittland) außerhalb der		Union (3) (in the same country as the data importer or in another third
Europäischen Union3 ansässig sind (im Folgenden „Weiterübermittlung“),

3 Das Abkommen über den Europäischen Wirtschaftsraum (EWR-Abkommen) regelt die Einbeziehung der drei EWR-Staaten Island, Liechtenstein und Norwegen in den Binnenmarkt der Europäischen Union. Das Datenschutzrecht der Union, darunter die Verordnung (EU) 2016/679, ist in das EWR-Abkommen einbezogen und wurde in Anhang XI aufgenommen. Daher gilt eine Weitergabe durch den Datenimporteur an einen im EWR ansässigen Dritten nicht als Weiterübermittlung im Sinne dieser Klauseln. / The Agreement on the European Economic Area (EEA Agreement) provides for the extension of the European Union’s internal market to the three EEA States Iceland, Liechtenstein and Norway. The Union data protection legislation, including Regulation (EU) 2016/679, is covered by the EEA Agreement and has been incorporated into Annex XI thereto. Therefore, any disclosure by the data importer to a third party located in the EEA does not qualify as an onward transfer for the purpose of these Clauses.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 15 von 75

[Seite 16]

	sofern der Dritte im Rahmen des betreffenden Moduls an diese Klauseln		country, hereinafter ‘onward transfer’) if the third party is or agrees to be
	gebunden ist oder sich mit der Bindung daran einverstanden erklärt oder falls		bound by these Clauses, under the appropriate Module, or if:
	i) die Weiterübermittlung an ein Land erfolgt, für das ein		(i) the onward transfer is to a country benefitting from an adequacy
	Angemessenheitsbeschluss nach Artikel 45 der Verordnung (EU) 2016/679		decision pursuant to Article 45 of Regulation (EU) 2016/679 that covers
	gilt, der die Weiterübermittlung abdeckt,		the onward transfer;
	ii) der Dritte auf andere Weise geeignete Garantien gemäß Artikel 46 oder		(ii) the third party otherwise ensures appropriate safeguards pursuant to
	Artikel 47 der Verordnung (EU) 2016/679 im Hinblick auf die betreffende		Articles 46 or 47 Regulation of (EU) 2016/679 with respect to the
	Verarbeitung gewährleistet,		processing in question;
	iii) die Weiterübermittlung zur Geltendmachung, Ausübung oder Verteidigung		(iii) the onward transfer is necessary for the establishment, exercise or
	von Rechtsansprüchen im Zusammenhang mit bestimmten Verwaltungs-,		defence of legal claims in the context of specific administrative,
	Gerichts- oder regulatorischen Verfahren erforderlich ist oder		regulatory or judicial proceedings; or
	iv) die Weiterübermittlung erforderlich ist, um lebenswichtige Interessen der		(iv) the onward transfer is necessary in order to protect the vital interests
	betroffenen Person oder einer anderen natürlichen Person zu schützen.		of the data subject or of another natural person.
	Jede Weiterübermittlung erfolgt unter der Bedingung, dass der		Any onward transfer is subject to compliance by the data importer with
	Datenimporteur alle anderen Garantien gemäß diesen Klauseln,		all the other safeguards under these Clauses, in particular purpose
	insbesondere die Zweckbindung, einhält.		limitation.
	8.9. Dokumentation und Einhaltung der Klauseln		8.9 Documentation and compliance
	a) Der Datenimporteur bearbeitet Anfragen des Datenexporteurs, die sich auf		(a) The data importer shall promptly and adequately deal with enquiries
	die Verarbeitung gemäß diesen Klauseln beziehen, umgehend und in		from the data exporter that relate to the processing under these
	angemessener Weise.		Clauses.
b) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können. Insbesondere führt der Datenimporteur geeignete Aufzeichnungen über die im Auftrag des Datenexporteurs durchgeführten Verarbeitungstätigkeiten.	b) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.		(b) The Parties shall be able to demonstrate compliance with these
	Insbesondere führt der Datenimporteur geeignete Aufzeichnungen über die		Clauses. In particular, the data importer shall keep appropriate
	im Auftrag des Datenexporteurs durchgeführten Verarbeitungstätigkeiten.		documentation on the processing activities carried out on behalf of the
			data exporter.
	c) Der Datenimporteur stellt dem Datenexporteur alle Informationen zur	(c) The data importer shall make available to the data exporter all information necessary to demonstrate compliance with the obligations set out in these Clauses and at the data exporter’s request, allow for and contribute to audits of the processing activities covered by these Clauses, at reasonable intervals or if there are indications of non-	(c) The data importer shall make available to the data exporter all
	Verfügung, die erforderlich sind, um die Einhaltung der in diesen Klauseln		information necessary to demonstrate compliance with the obligations
	festgelegten Pflichten nachzuweisen; auf Verlangen des Datenexporteurs		set out in these Clauses and at the data exporter’s request, allow for
	ermöglicht er diesem, die unter diese Klauseln fallenden		and contribute to audits of the processing activities covered by these
	Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für		Clauses, at reasonable intervals or if there are indications of non-
	eine Nichteinhaltung zu prüfen, und trägt zu einer solchen Prüfung bei. Bei
	der Entscheidung über eine Überprüfung oder Prüfung kann der

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 16 von 75

[Seite 17]

Datenexporteur einschlägige Zertifizierungen des Datenimporteurs		compliance. In deciding on a review or audit, the data exporter may take
berücksichtigen.		into account relevant certifications held by the data importer.
d) Der Datenexporteur kann die Prüfung selbst durchführen oder einen	(d) The data exporter may choose to conduct the audit by itself or mandate an independent auditor. Audits may include inspections at the premises or physical facilities of the data importer and shall, where appropriate, be carried out with reasonable notice.	(d) The data exporter may choose to conduct the audit by itself or
unabhängigen Prüfer beauftragen. Die Prüfungen können Inspektionen in den		mandate an independent auditor. Audits may include inspections at the
Räumlichkeiten oder physischen Einrichtungen des Datenimporteurs		premises or physical facilities of the data importer and shall, where
umfassen und werden gegebenenfalls mit angemessener Vorankündigung		appropriate, be carried out with reasonable notice.
durchgeführt.
e) Die Parteien stellen der zuständigen Aufsichtsbehörde die unter den		(e) The Parties shall make the information referred to in paragraphs (b)
Buchstaben b und c genannten Informationen, einschließlich der Ergebnisse		and (c), including the results of any audits, available to the competent
von Prüfungen, auf Anfrage zur Verfügung.		supervisory authority on request.
MODUL DREI: Übermittlung von Auftragsverarbeitern an	MODULE THREE: Transfer processor to processor	MODULE THREE: Transfer processor to processor
Auftragsverarbeiter
8.1. Weisungen		8.1 Instructions
a) Der Datenexporteur hat dem Datenimporteur mitgeteilt, dass er als	(a) The data exporter has informed the data importer that it acts as processor under the instructions of its controller(s), which the data exporter shall make available to the data importer prior to processing.	(a) The data exporter has informed the data importer that it acts as
Auftragsverarbeiter nach den Weisungen seines/seiner Verantwortlichen		processor under the instructions of its controller(s), which the data
fungiert, und der Datenexporteur stellt dem Datenimporteur diese Weisungen		exporter shall make available to the data importer prior to processing.
vor der Verarbeitung zur Verfügung.
b) Der Datenimporteur verarbeitet die personenbezogenen Daten nur auf der	(b) The data importer shall process the personal data only on documented instructions from the controller, as communicated to the data importer by the data exporter, and any additional documented instructions from the data exporter. Such additional instructions shall not conflict with the instructions from the controller. The controller or data exporter may give further documented instructions regarding the data processing throughout the duration of the contract.	(b) The data importer shall process the personal data only on
Grundlage dokumentierter Weisungen des Verantwortlichen, die dem		documented instructions from the controller, as communicated to the
Datenimporteur vom Datenexporteur mitgeteilt wurden, sowie auf der		data importer by the data exporter, and any additional documented
Grundlage aller zusätzlichen dokumentierten Weisungen des		instructions from the data exporter. Such additional instructions shall not
Datenexporteurs. Diese zusätzlichen Weisungen dürfen nicht im Widerspruch		conflict with the instructions from the controller. The controller or data
zu den Weisungen des Verantwortlichen stehen. Der Verantwortliche oder der		exporter may give further documented instructions regarding the data
Datenexporteur kann während der gesamten Vertragslaufzeit weitere		processing throughout the duration of the contract.
dokumentierte Weisungen im Hinblick auf die Datenverarbeitung erteilen.
c) Der Datenimporteur unterrichtet den Datenexporteur unverzüglich, wenn er		(c) The data importer shall immediately inform the data exporter if it is
diese Weisungen nicht befolgen kann. Ist der Datenimporteur nicht in der		unable to follow those instructions. Where the data importer is unable to
Lage, die Weisungen des Verantwortlichen zu befolgen, setzt der		follow the instructions from the controller, the data exporter shall
Datenexporteur den Verantwortlichen unverzüglich davon in Kenntnis.		immediately notify the controller.
d) Der Datenexporteur sichert zu, dass er dem Datenimporteur dieselben	(d) The data exporter warrants that it has imposed the same data protection obligations on the data importer as set out in the contract or	(d) The data exporter warrants that it has imposed the same data
Datenschutzpflichten auferlegt hat, die im Vertrag oder in einem anderen		protection obligations on the data importer as set out in the contract or
Rechtsinstrument nach dem Unionsrecht oder dem Recht des betreffenden

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 17 von 75

[Seite 18]

Mitgliedstaats zwischen dem Verantwortlichen und dem Datenexporteur		other legal act under Union or Member State law between the controller
festgelegt sind.4		and the data exporter (4).
8.2. Zweckbindung		8.2 Purpose limitation
Der Datenimporteur verarbeitet die personenbezogenen Daten nur für den/die	The data importer shall process the personal data only for the specific purpose(s) of the transfer, as set out in Annex I.B., unless on further instructions from the controller, as communicated to the data importer by the data exporter, or from the data exporter.	The data importer shall process the personal data only for the specific
in Anhang I.B genannten spezifischen Übermittlungszweck(e), sofern keine		purpose(s) of the transfer, as set out in Annex I.B., unless on further
weiteren Weisungen seitens des Verantwortlichen, die dem Datenimporteur		instructions from the controller, as communicated to the data importer
vom Datenexporteur mitgeteilt wurden, oder seitens des Datenexporteurs		by the data exporter, or from the data exporter.
bestehen.
8.3. Transparenz		8.3 Transparency
Auf Anfrage stellt der Datenexporteur der betroffenen Person eine Kopie	On request, the data exporter shall make a copy of these Clauses, including the Appendix as completed by the Parties, available to the data subject free of charge. To the extent necessary to protect business secrets or other confidential information, including personal data, the data exporter may redact part of the text of the Appendix prior to sharing a copy, but shall provide a meaningful summary where the data subject would otherwise not be able to understand its content or exercise his/her rights. On request, the Parties shall provide the data subject with the reasons for the redactions, to the extent possible without revealing the redacted information.	On request, the data exporter shall make a copy of these Clauses,
dieser Klauseln, einschließlich der von den Parteien ausgefüllten Anlage,		including the Appendix as completed by the Parties, available to the
unentgeltlich zur Verfügung. Soweit es zum Schutz von		data subject free of charge. To the extent necessary to protect business
Geschäftsgeheimnissen oder anderen vertraulichen Informationen,		secrets or other confidential information, including personal data, the
einschließlich personenbezogener Daten, notwendig ist, kann der		data exporter may redact part of the text of the Appendix prior to sharing
Datenexporteur Teile des Textes der Anlage vor der Weitergabe einer Kopie		a copy, but shall provide a meaningful summary where the data subject
unkenntlich machen; er legt jedoch eine aussagekräftige Zusammenfassung		would otherwise not be able to understand its content or exercise his/her
vor, wenn die betroffene Person andernfalls den Inhalt der Anlage nicht		rights. On request, the Parties shall provide the data subject with the
verstehen würde oder ihre Rechte nicht ausüben könnte. Auf Anfrage teilen		reasons for the redactions, to the extent possible without revealing the
die Parteien der betroffenen Person die Gründe für die Schwärzungen so weit		redacted information.
wie möglich mit, ohne die geschwärzten Informationen offenzulegen.
8.4. Richtigkeit		8.4 Accuracy
Stellt der Datenimporteur fest, dass die erhaltenen personenbezogenen		If the data importer becomes aware that the personal data it has
Daten unrichtig oder veraltet sind, unterrichtet er unverzüglich den		received is inaccurate, or has become outdated, it shall inform the data
Datenexporteur. In diesem Fall arbeitet der Datenimporteur mit dem		exporter without undue delay. In this case, the data importer shall
Datenexporteur zusammen, um die Daten zu berichtigen oder zu löschen.		cooperate with the data exporter to rectify or erase the data.
8.5. Dauer der Verarbeitung und Löschung oder Rückgabe der Daten		8.5 Duration of processing and erasure or return of data
Die Daten werden vom Datenimporteur nur für die in Anhang I.B angegebene		Processing by the data importer shall only take place for the duration
Dauer verarbeitet. Nach Wahl des Datenexporteurs löscht der		specified in Annex I.B. After the end of the provision of the processing
Datenimporteur nach Beendigung der Datenverarbeitungsdienste alle im		services, the data importer shall, at the choice of the data exporter,

4 Siehe Artikel 28 Absatz 4 der Verordnung (EU) 2016/679 und, wenn es sich bei dem Verantwortlichen um ein Organ oder eine Einrichtung der Union handelt, Artikel 29 Absatz 4 der Verordnung (EU) 2018/1725. / See Article 28(4) of Regulation (EU) 2016/679 and, where the controller is an EU institution or body, Article 29(4) of Regulation (EU) 2018/1725.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 18 von 75

[Seite 19]

Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten und	delete all personal data processed on behalf of the controller and certify to the data exporter that it has done so, or return to the data exporter all personal data processed on its behalf and delete existing copies. Until the data is deleted or returned, the data importer shall continue to ensure compliance with these Clauses. In case of local laws applicable to the data importer that prohibit return or deletion of the personal data, the data importer warrants that it will continue to ensure compliance with these Clauses and will only process it to the extent and for as long as required under that local law. This is without prejudice to Clause 14, in particular the requirement for the data importer under Clause 14(e) to notify the data exporter throughout the duration of the contract if it has reason to believe that it is or has become subject to laws or practices not in line with the requirements under Clause 14(a).	delete all personal data processed on behalf of the controller and certify
bescheinigt dem Datenexporteur, dass dies erfolgt ist, oder gibt dem		to the data exporter that it has done so, or return to the data exporter all
Datenexporteur alle in seinem Auftrag verarbeiteten personenbezogenen		personal data processed on its behalf and delete existing copies. Until
Daten zurück und löscht bestehende Kopien. Bis zur Löschung oder		the data is deleted or returned, the data importer shall continue to
Rückgabe der Daten stellt der Datenimporteur weiterhin die Einhaltung dieser		ensure compliance with these Clauses. In case of local laws applicable
Klauseln sicher. Falls für den Datenimporteur lokale Rechtsvorschriften		to the data importer that prohibit return or deletion of the personal data,
gelten, die ihm die Rückgabe oder Löschung der personenbezogenen Daten		the data importer warrants that it will continue to ensure compliance with
untersagen, sichert der Datenimporteur zu, dass er die Einhaltung dieser		these Clauses and will only process it to the extent and for as long as
Klauseln auch weiterhin gewährleistet und diese Daten nur in dem Umfang		required under that local law. This is without prejudice to Clause 14, in
und so lange verarbeitet, wie dies gemäß den betreffenden lokalen		particular the requirement for the data importer under Clause 14(e) to
Rechtsvorschriften erforderlich ist. Dies gilt unbeschadet von Klausel 14,		notify the data exporter throughout the duration of the contract if it has
insbesondere der Pflicht des Datenimporteurs gemäß Klausel 14		reason to believe that it is or has become subject to laws or practices
Buchstabe e, den Datenexporteur während der Vertragslaufzeit zu		not in line with the requirements under Clause 14(a).
benachrichtigen, wenn er Grund zu der Annahme hat, dass für ihn
Rechtsvorschriften oder Gepflogenheiten gelten oder gelten werden, die nicht
mit den Anforderungen in Klausel 14 Buchstabe a im Einklang stehen.
8.6. Sicherheit der Verarbeitung		8.6 Security of processing
a) Der Datenimporteur und, während der Datenübermittlung, auch der	(a) The data importer and, during transmission, also the data exporter shall implement appropriate technical and organisational measures to ensure the security of the data, including protection against a breach of security leading to accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access to that data (hereinafter ‘personal data breach’). In assessing the appropriate level of security, they shall take due account of the state of the art, the costs of implementation, the nature, scope, context and purpose(s) of processing and the risks involved in the processing for the data subject. The Parties shall in particular consider having recourse to encryption or pseudonymisation, including during transmission, where the purpose of processing can be fulfilled in that manner. In case of pseudonymisation, the additional information for attributing the personal data to a specific data subject shall, where possible, remain under the exclusive control of the data exporter or the controller. In complying with its obligations under this paragraph, the data importer shall at least implement the technical and organisational measures specified in Annex II. The data importer shall carry out regular checks to ensure that these measures continue to provide an appropriate level of security.	(a) The data importer and, during transmission, also the data exporter
Datenexporteur treffen geeignete technische und organisatorische		shall implement appropriate technical and organisational measures to
Maßnahmen, um die Sicherheit der Daten zu gewährleisten, einschließlich		ensure the security of the data, including protection against a breach of
des Schutzes vor einer Verletzung der Sicherheit, die, ob unbeabsichtigt oder		security leading to accidental or unlawful destruction, loss, alteration,
unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur		unauthorised disclosure or access to that data (hereinafter ‘personal
unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu		data breach’). In assessing the appropriate level of security, they shall
diesen Daten führt (im Folgenden „Verletzung des Schutzes		take due account of the state of the art, the costs of implementation, the
personenbezogener Daten“). Bei der Beurteilung des angemessenen		nature, scope, context and purpose(s) of processing and the risks
Schutzniveaus tragen sie dem Stand der Technik, den		involved in the processing for the data subject. The Parties shall in
Implementierungskosten, der Art, dem Umfang, den Umständen und dem/den		particular consider having recourse to encryption or pseudonymisation,
Zweck(en) der Verarbeitung sowie den mit der Verarbeitung verbundenen		including during transmission, where the purpose of processing can be
Risiken für die betroffene Person gebührend Rechnung. Die Parteien ziehen		fulfilled in that manner. In case of pseudonymisation, the additional
insbesondere eine Verschlüsselung oder Pseudonymisierung, auch während		information for attributing the personal data to a specific data subject
der Datenübermittlung, in Betracht, wenn dadurch der Verarbeitungszweck		shall, where possible, remain under the exclusive control of the data
erfüllt werden kann. Im Falle einer Pseudonymisierung verbleiben die		exporter or the controller. In complying with its obligations under this
zusätzlichen Informationen, mit denen die personenbezogenen Daten einer		paragraph, the data importer shall at least implement the technical and
speziellen betroffenen Person zugeordnet werden können, soweit möglich,		organisational measures specified in Annex II. The data importer shall
unter der ausschließlichen Kontrolle des Datenexporteurs oder des		carry out regular checks to ensure that these measures continue to
Verantwortlichen. Zur Erfüllung seinen Pflichten gemäß diesem Absatz setzt		provide an appropriate level of security.
der Datenimporteur mindestens die in Anhang II aufgeführten technischen

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 19 von 75

[Seite 20]

und organisatorischen Maßnahmen um. Der Datenimporteur führt
regelmäßige Kontrollen durch, um sicherzustellen, dass diese Maßnahmen
weiterhin ein angemessenes Schutzniveau bieten.
b) Der Datenimporteur gewährt seinem Personal nur insoweit Zugang zu den		(b) The data importer shall grant access to the data to members of its
Daten, als dies für die Durchführung, Verwaltung und Überwachung des		personnel only to the extent strictly necessary for the implementation,
Vertrags unbedingt erforderlich ist. Er gewährleistet, dass sich die zur		management and monitoring of the contract. It shall ensure that persons
Verarbeitung der personenbezogenen Daten befugten Personen zur		authorised to process the personal data have committed themselves to
Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen		confidentiality or are under an appropriate statutory obligation of
Verschwiegenheitspflicht unterliegen.		confidentiality.
c) Im Falle einer Verletzung des Schutzes personenbezogener Daten im	(c) In the event of a personal data breach concerning personal data processed by the data importer under these Clauses, the data importer shall take appropriate measures to address the breach, including measures to mitigate its adverse effects. The data importer shall also notify, without undue delay, the data exporter and, where appropriate and feasible, the controller after having become aware of the breach. Such notification shall contain the details of a contact point where more information can be obtained, a description of the nature of the breach (including, where possible, categories and approximate number of data subjects and personal data records concerned), its likely consequences and the measures taken or proposed to address the data breach, including measures to mitigate its possible adverse effects. Where, and in so far as, it is not possible to provide all information at the same time, the initial notification shall contain the information then available and further information shall, as it becomes available, subsequently be provided without undue delay.	(c) In the event of a personal data breach concerning personal data
Zusammenhang mit der Verarbeitung personenbezogener Daten durch den		processed by the data importer under these Clauses, the data importer
Datenimporteur gemäß diesen Klauseln ergreift der Datenimporteur		shall take appropriate measures to address the breach, including
geeignete Maßnahmen zur Behebung der Verletzung, darunter auch		measures to mitigate its adverse effects. The data importer shall also
Maßnahmen zur Abmilderung ihrer nachteiligen Auswirkungen. Außerdem		notify, without undue delay, the data exporter and, where appropriate
meldet der Datenimporteur die Verletzung dem Datenexporteur und, sofern		and feasible, the controller after having become aware of the breach.
angemessen und machbar, dem Verantwortlichen unverzüglich, nachdem		Such notification shall contain the details of a contact point where more
ihm die Verletzung bekannt wurde. Diese Meldung enthält die Kontaktdaten		information can be obtained, a description of the nature of the breach
einer Anlaufstelle für weitere Informationen, eine Beschreibung der Art der		(including, where possible, categories and approximate number of data
Verletzung (soweit möglich, mit Angabe der Kategorien und der ungefähren		subjects and personal data records concerned), its likely consequences
Zahl der betroffenen Personen und der ungefähren Zahl der betroffenen		and the measures taken or proposed to address the data breach,
personenbezogenen Datensätze), die wahrscheinlichen Folgen der		including measures to mitigate its possible adverse effects. Where, and
Verletzung und die ergriffenen oder vorgeschlagenen Maßnahmen zur		in so far as, it is not possible to provide all information at the same time,
Behebung der Verletzung des Schutzes der Daten, einschließlich		the initial notification shall contain the information then available and
Maßnahmen zur Abmilderung etwaiger nachteiliger Auswirkungen. Wenn und		further information shall, as it becomes available, subsequently be
soweit nicht alle Informationen zur gleichen Zeit bereitgestellt werden können,		provided without undue delay.
enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren
Informationen, und weitere Informationen werden, sobald sie verfügbar sind,
anschließend ohne unangemessene Verzögerung bereitgestellt.
d) Unter Berücksichtigung der Art der Verarbeitung und der dem	(d) The data importer shall cooperate with and assist the data exporter to enable the data exporter to comply with its obligations under Regulation (EU) 2016/679, in particular to notify its controller so that the latter may in turn notify the competent supervisory authority and the affected data subjects, taking into account the nature of processing and the information available to the data importer.	(d) The data importer shall cooperate with and assist the data exporter
Datenimporteur zur Verfügung stehenden Informationen arbeitet der		to enable the data exporter to comply with its obligations under
Datenimporteur mit dem Datenexporteur zusammen und unterstützt ihn		Regulation (EU) 2016/679, in particular to notify its controller so that the
dabei, seinen Pflichten gemäß der Verordnung (EU) 2016/679		latter may in turn notify the competent supervisory authority and the
nachzukommen, insbesondere den Verantwortlichen zu unterrichten, damit		affected data subjects, taking into account the nature of processing and
dieser wiederum die zuständige Aufsichtsbehörde und die betroffenen		the information available to the data importer.
Personen benachrichtigen kann.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 20 von 75

[Seite 21]

8.7. Sensible Daten		8.7 Sensitive data
Soweit die Übermittlung personenbezogene Daten umfasst, aus denen die	Where the transfer involves personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, genetic data, or biometric data for the purpose of uniquely identifying a natural person, data concerning health or a person’s sex life or sexual orientation, or data relating to criminal convictions and offences (hereinafter ‘sensitive data’), the data importer shall apply the specific restrictions and/or additional safeguards set out in Annex I.B.	Where the transfer involves personal data revealing racial or ethnic
rassische oder ethnische Herkunft, politische Meinungen, religiöse oder		origin, political opinions, religious or philosophical beliefs, or trade union
weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit		membership, genetic data, or biometric data for the purpose of uniquely
hervorgehen, oder die genetische Daten oder biometrische Daten zum Zweck		identifying a natural person, data concerning health or a person’s sex
der eindeutigen Identifizierung einer natürlichen Person, Daten über die		life or sexual orientation, or data relating to criminal convictions and
Gesundheit, das Sexualleben oder die sexuelle Ausrichtung einer Person		offences (hereinafter ‘sensitive data’), the data importer shall apply the
oder Daten über strafrechtliche Verurteilungen und Straftaten enthalten (im		specific restrictions and/or additional safeguards set out in Annex I.B.
Folgenden „sensible Daten“), wendet der Datenimporteur die in Anhang I.B
angegebenen speziellen Beschränkungen und/oder zusätzlichen Garantien
an.
8.8. Weiterübermittlungen		8.8 Onward transfers
Der Datenimporteur gibt die personenbezogenen Daten nur auf der	The data importer shall only disclose the personal data to a third party on documented instructions from the controller, as communicated to the data importer by the data exporter. In addition, the data may only be disclosed to a third party located outside the European Union (5) (in the same country as the data importer or in another third country, hereinafter ‘onward transfer’) if the third party is or agrees to be bound by these Clauses, under the appropriate Module, or if:	The data importer shall only disclose the personal data to a third party
Grundlage dokumentierter Weisungen des Verantwortlichen, die dem		on documented instructions from the controller, as communicated to the
Datenimporteur vom Datenexporteur mitgeteilt wurden, an Dritte weiter. Die		data importer by the data exporter. In addition, the data may only be
Daten dürfen zudem nur an Dritte weitergegeben werden, die (in demselben		disclosed to a third party located outside the European Union (5) (in the
Land wie der Datenimporteur oder in einem anderen Drittland) außerhalb der		same country as the data importer or in another third country,
Europäischen Union5 ansässig sind (im Folgenden „Weiterübermittlung“),		hereinafter ‘onward transfer’) if the third party is or agrees to be bound
sofern der Dritte im Rahmen des betreffenden Moduls an diese Klauseln		by these Clauses, under the appropriate Module, or if:
gebunden ist oder sich mit der Bindung daran einverstanden erklärt oder falls
i) die Weiterübermittlung an ein Land erfolgt, für das ein		(i) the onward transfer is to a country benefitting from an adequacy
Angemessenheitsbeschluss nach Artikel 45 der Verordnung (EU) 2016/679		decision pursuant to Article 45 of Regulation (EU) 2016/679 that covers
gilt, der die Weiterübermittlung abdeckt,		the onward transfer;
ii) der Dritte auf andere Weise geeignete Garantien gemäß Artikel 46 oder		(ii) the third party otherwise ensures appropriate safeguards pursuant to
Artikel 47 der Verordnung (EU) 2016/679 gewährleistet,		Articles 46 or 47 of Regulation (EU) 2016/679;

5 Das Abkommen über den Europäischen Wirtschaftsraum (EWR-Abkommen) regelt die Einbeziehung der drei EWR-Staaten Island, Liechtenstein und Norwegen in den Binnenmarkt der Europäischen Union. Das Datenschutzrecht der Union, darunter die Verordnung (EU) 2016/679, ist in das EWR-Abkommen einbezogen und wurde in Anhang XI aufgenommen. Daher gilt eine Weitergabe durch den Datenimporteur an einen im EWR ansässigen Dritten nicht als Weiterübermittlung im Sinne dieser Klauseln. / The Agreement on the European Economic Area (EEA Agreement) provides for the extension of the European Union’s internal market to the three EEA States Iceland, Liechtenstein and Norway. The Union data protection legislation, including Regulation (EU) 2016/679, is covered by the EEA Agreement and has been incorporated into Annex XI thereto. Therefore, any disclosure by the data importer to a third party located in the EEA does not qualify as an onward transfer for the purpose of these Clauses.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 21 von 75

[Seite 22]

	iii) die Weiterübermittlung zur Geltendmachung, Ausübung oder Verteidigung		(iii) the onward transfer is necessary for the establishment, exercise or
	von Rechtsansprüchen im Zusammenhang mit bestimmten Verwaltungs-,		defence of legal claims in the context of specific administrative,
	Gerichts- oder regulatorischen Verfahren erforderlich ist oder		regulatory or judicial proceedings; or
	iv) die Weiterübermittlung erforderlich ist, um lebenswichtige Interessen der		(iv) the onward transfer is necessary in order to protect the vital interests
	betroffenen Person oder einer anderen natürlichen Person zu schützen.		of the data subject or of another natural person.
	Jede Weiterübermittlung erfolgt unter der Bedingung, dass der		Any onward transfer is subject to compliance by the data importer with
	Datenimporteur alle anderen Garantien gemäß diesen Klauseln,		all the other safeguards under these Clauses, in particular purpose
	insbesondere die Zweckbindung, einhält.		limitation.
	8.9. Dokumentation und Einhaltung der Klauseln		8.9 Documentation and compliance
	a) Der Datenimporteur bearbeitet Anfragen des Datenexporteurs oder des		(a) The data importer shall promptly and adequately deal with enquiries
	Verantwortlichen, die sich auf die Verarbeitung gemäß diesen Klauseln		from the data exporter or the controller that relate to the processing
	beziehen, umgehend und in angemessener Weise.		under these Clauses.
b) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können. Insbesondere führt der Datenimporteur geeignete Aufzeichnungen über die im Auftrag des Verantwortlichen durchgeführten Verarbeitungstätigkeiten.	b) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.		(b) The Parties shall be able to demonstrate compliance with these
	Insbesondere führt der Datenimporteur geeignete Aufzeichnungen über die		Clauses. In particular, the data importer shall keep appropriate
	im Auftrag des Verantwortlichen durchgeführten Verarbeitungstätigkeiten.		documentation on the processing activities carried out on behalf of the
			controller.
	c) Der Datenimporteur stellt dem Datenexporteur alle Informationen zur	(c) The data importer shall make all information necessary to demonstrate compliance with the obligations set out in these Clauses available to the data exporter, which shall provide it to the controller.	(c) The data importer shall make all information necessary to
	Verfügung, die für den Nachweis der Einhaltung der in diesen Klauseln		demonstrate compliance with the obligations set out in these Clauses
	festgelegten Pflichten erforderlich sind, und der Datenexporteur stellt diese		available to the data exporter, which shall provide it to the controller.
	Informationen wiederum dem Verantwortlichen bereit.
	d) Der Datenimporteur ermöglicht dem Datenexporteur die Prüfung der unter	(d) The data importer shall allow for and contribute to audits by the data exporter of the processing activities covered by these Clauses, at reasonable intervals or if there are indications of non-compliance. The same shall apply where the data exporter requests an audit on instructions of the controller. In deciding on an audit, the data exporter may take into account relevant certifications held by the data importer.	(d) The data importer shall allow for and contribute to audits by the data
	diese Klauseln fallenden Verarbeitungstätigkeiten in angemessenen		exporter of the processing activities covered by these Clauses, at
	Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer		reasonable intervals or if there are indications of non-compliance. The
	solchen Prüfung bei. Gleiches gilt, wenn der Datenexporteur eine Prüfung auf		same shall apply where the data exporter requests an audit on
	Weisung des Verantwortlichen beantragt. Bei der Entscheidung über eine		instructions of the controller. In deciding on an audit, the data exporter
	Prüfung kann der Datenexporteur einschlägige Zertifizierungen des		may take into account relevant certifications held by the data importer.
	Datenimporteurs berücksichtigen.
	e) Wird die Prüfung auf Weisung des Verantwortlichen durchgeführt, stellt der		(e) Where the audit is carried out on the instructions of the controller,
	Datenexporteur die Ergebnisse dem Verantwortlichen zur Verfügung.		the data exporter shall make the results available to the controller.
	f) Der Datenexporteur kann die Prüfung selbst durchführen oder einen		(f) The data exporter may choose to conduct the audit by itself or
	unabhängigen Prüfer beauftragen. Die Prüfungen können Inspektionen in den		mandate an independent auditor. Audits may include inspections at the

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 22 von 75

[Seite 23]

Räumlichkeiten oder physischen Einrichtungen des Datenimporteurs	premises or physical facilities of the data importer and shall, where appropriate, be carried out with reasonable notice.	premises or physical facilities of the data importer and shall, where
umfassen und werden gegebenenfalls mit angemessener Vorankündigung		appropriate, be carried out with reasonable notice.
durchgeführt.
g) Die Parteien stellen der zuständigen Aufsichtsbehörde die unter den		(g) The Parties shall make the information referred to in paragraphs (b)
Buchstaben b und c genannten Informationen, einschließlich der Ergebnisse		and (c), including the results of any audits, available to the competent
von Prüfungen, auf Anfrage zur Verfügung.		supervisory authority on request.
MODUL VIER: Übermittlung von Auftragsverarbeitern an	MODULE FOUR: Transfer processor to controller	MODULE FOUR: Transfer processor to controller
Verantwortliche
8.1. Weisungen		8.1 Instructions
a) Der Datenexporteur verarbeitet die personenbezogenen Daten nur auf	(a) The data exporter shall process the personal data only on documented instructions from the data importer acting as its controller.	(a) The data exporter shall process the personal data only on
dokumentierte Weisung des Datenimporteurs, der als sein Verantwortlicher		documented instructions from the data importer acting as its controller.
fungiert.
b) Der Datenexporteur unterrichtet den Datenimporteur unverzüglich, wenn er		(b) The data exporter shall immediately inform the data importer if it is
die betreffenden Weisungen nicht befolgen kann, u. a. wenn eine solche		unable to follow those instructions, including if such instructions infringe
Weisung gegen die Verordnung (EU) 2016/679 oder andere		Regulation (EU) 2016/679 or other Union or Member State data
Datenschutzvorschriften der Union oder eines Mitgliedstaats verstößt.		protection law.
c) Der Datenimporteur sieht von jeglicher Handlung ab, die den	(c) The data importer shall refrain from any action that would prevent the data exporter from fulfilling its obligations under Regulation (EU) 2016/679, including in the context of sub-processing or as regards cooperation with competent supervisory authorities.	(c) The data importer shall refrain from any action that would prevent
Datenexporteur an der Erfüllung seiner Pflichten gemäß der Verordnung (EU)		the data exporter from fulfilling its obligations under Regulation (EU)
2016/679 hindern würde, einschließlich im Zusammenhang mit		2016/679, including in the context of sub-processing or as regards
Unterverarbeitungen oder der Zusammenarbeit mit den zuständigen		cooperation with competent supervisory authorities.
Aufsichtsbehörden.
d) Nach Wahl des Datenimporteurs löscht der Datenexporteur nach	(d) After the end of the provision of the processing services, the data exporter shall, at the choice of the data importer, delete all personal data processed on behalf of the data importer and certify to the data importer that it has done so, or return to the data importer all personal data processed on its behalf and delete existing copies.	(d) After the end of the provision of the processing services, the data
Beendigung der Datenverarbeitungsdienste alle im Auftrag des		exporter shall, at the choice of the data importer, delete all personal data
Datenimporteurs verarbeiteten personenbezogenen Daten und bescheinigt		processed on behalf of the data importer and certify to the data importer
dem Datenimporteur, dass dies erfolgt ist, oder gibt dem Datenimporteur alle		that it has done so, or return to the data importer all personal data
in seinem Auftrag verarbeiteten personenbezogenen Daten zurück und löscht		processed on its behalf and delete existing copies.
bestehende Kopien.
8.2. Sicherheit der Verarbeitung		8.2 Security of processing
a) Die Parteien treffen geeignete technische und organisatorische		(a) The Parties shall implement appropriate technical and organisational
Maßnahmen, um die Sicherheit der personenbezogenen Daten, auch		measures to ensure the security of the data, including during
während der Übermittlung, sowie den Schutz vor einer Verletzung der		transmission, and protection against a breach of security leading to

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 23 von 75

[Seite 24]

	Sicherheit zu gewährleisten, die, ob unbeabsichtigt oder unrechtmäßig, zur	accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access (hereinafter ‘personal data breach’). In assessing the appropriate level of security, they shall take due account of the state of the art, the costs of implementation, the nature of the personal data (6), the nature, scope, context and purpose(s) of processing and the risks involved in the processing for the data subjects, and in particular consider having recourse to encryption or pseudonymisation, including during transmission, where the purpose of processing can be fulfilled in that manner.	accidental or unlawful destruction, loss, alteration, unauthorised
	Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung		disclosure or access (hereinafter ‘personal data breach’). In assessing
	von beziehungsweise zum unbefugten Zugang zu den personenbezogenen		the appropriate level of security, they shall take due account of the state
	Daten führt (im Folgenden „Verletzung des Schutzes personenbezogener		of the art, the costs of implementation, the nature of the personal
	Daten“). Bei der Beurteilung des angemessenen Schutzniveaus tragen sie		data (6), the nature, scope, context and purpose(s) of processing and
	dem Stand der Technik, den Implementierungskosten, der Art der		the risks involved in the processing for the data subjects, and in
	personenbezogenen Daten6, der Art, dem Umfang, den Umständen und		particular consider having recourse to encryption or pseudonymisation,
	dem/den Zweck(en) der Verarbeitung sowie den mit der Verarbeitung		including during transmission, where the purpose of processing can be
	verbundenen Risiken für die betroffenen Personen gebührend Rechnung und		fulfilled in that manner.
	ziehen insbesondere eine Verschlüsselung oder Pseudonymisierung, auch
	während der Übermittlung, in Betracht, wenn dadurch der
	Verarbeitungszweck erfüllt werden kann.
	b) Der Datenexporteur unterstützt den Datenimporteur bei der	(b) The data exporter shall assist the data importer in ensuring appropriate security of the data in accordance with paragraph (a). In case of a personal data breach concerning the personal data processed by the data exporter under these Clauses, the data exporter shall notify the data importer without undue delay after becoming aware of it and assist the data importer in addressing the breach.	(b) The data exporter shall assist the data importer in ensuring
	Gewährleistung einer angemessenen Sicherheit der Daten gemäß		appropriate security of the data in accordance with paragraph (a). In
	Buchstabe a. Im Falle einer Verletzung des Schutzes personenbezogener		case of a personal data breach concerning the personal data processed
	Daten im Zusammenhang mit den vom Datenexporteur gemäß diesen		by the data exporter under these Clauses, the data exporter shall notify
	Klauseln verarbeiteten personenbezogenen Daten meldet der		the data importer without undue delay after becoming aware of it and
	Datenexporteur dem Datenimporteur die Verletzung unverzüglich, nachdem		assist the data importer in addressing the breach.
	sie ihm bekannt wurde, und unterstützt den Datenimporteur bei der Behebung
	der Verletzung.
	c) Der Datenexporteur gewährleistet, dass sich die zur Verarbeitung der	(c) The data exporter shall ensure that persons authorised to process the personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality.	(c) The data exporter shall ensure that persons authorised to process
	personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet		the personal data have committed themselves to confidentiality or are
	haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht		under an appropriate statutory obligation of confidentiality.
	unterliegen.
	8.3. Dokumentation und Einhaltung der Klauseln		8.3 Documentation and compliance
a) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.	a) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.		(a) The Parties shall be able to demonstrate compliance with these
			Clauses.

6 Hierzu zählt, ob die Übermittlung und Weiterverarbeitung personenbezogene Daten umfassen, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, oder genetische Daten oder biometrische Daten zum Zwecke der eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit, das Sexualleben oder die sexuelle Ausrichtung einer Person oder Daten über strafrechtliche Verurteilungen oder Straftaten enthalten. / This includes whether the transfer and further processing involves personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, genetic data or biometric data for the purpose of uniquely identifying a natural person, data concerning health or a person’s sex life or sexual orientation, or data relating to criminal convictions or offences.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 24 von 75

[Seite 25]

b) Der Datenexporteur stellt dem Datenimporteur alle Informationen zur	(b) The data exporter shall make available to the data importer all information necessary to demonstrate compliance with its obligations under these Clauses and allow for and contribute to audits.	(b) The data exporter shall make available to the data importer all
Verfügung, die für den Nachweis der Einhaltung seiner Pflichten gemäß		information necessary to demonstrate compliance with its obligations
diesen Klauseln erforderlich sind, und ermöglicht Prüfungen und trägt zu		under these Clauses and allow for and contribute to audits.
diesen bei.
Klausel 9		Clause 9
Einsatz von Unterauftragsverarbeitern		Use of sub-processors
MODUL ZWEI: Übermittlung von Verantwortlichen an	MODULE TWO: Transfer controller to processor	MODULE TWO: Transfer controller to processor
Auftragsverarbeiter
a) OPTION 1: VORHERIGE GESONDERTE GENEHMIGUNG. Der	(a) OPTION 1: SPECIFIC PRIOR AUTHORISATION The data importer shall not sub-contract any of its processing activities performed on behalf of the data exporter under these Clauses to a sub-processor without the data exporter’s prior specific written authorisation. The data importer shall submit the request for specific authorisation at least [Specify time period] prior to the engagement of the sub-processor, together with the information necessary to enable the data exporter to decide on the authorisation. The list of sub-processors already authorised by the data exporter can be found in Annex III. The Parties shall keep Annex III up to date. OPTION 2: GENERAL WRITTEN AUTHORISATION The data importer has the data exporter’s general authorisation for the engagement of sub-processor(s) from an agreed list. The data importer shall specifically inform the data exporter in writing of any intended changes to that list through the addition or replacement of sub-processors at least [Specify time period] in advance, thereby giving the data exporter sufficient time to be able to object to such changes prior to the engagement of the sub- processor(s). The data importer shall provide the data exporter with the information necessary to enable the data exporter to exercise its right to object.	(a) OPTION 1: SPECIFIC PRIOR AUTHORISATION The data importer
Datenimporteur darf keine seiner Verarbeitungstätigkeiten, die er im Auftrag		shall not sub-contract any of its processing activities performed on
des Datenexporteurs gemäß diesen Klauseln durchführt, ohne vorherige		behalf of the data exporter under these Clauses to a sub-processor
gesonderte schriftliche Genehmigung des Datenexporteurs an einen		without the data exporter’s prior specific written authorisation. The data
Unterauftragsverarbeiter untervergeben. Der Datenimporteur reicht den		importer shall submit the request for specific authorisation at least
Antrag auf die gesonderte Genehmigung mindestens [Zeitraum angeben] vor		[Specify time period] prior to the engagement of the sub-processor,
der Beauftragung des Unterauftragsverarbeiters zusammen mit den		together with the information necessary to enable the data exporter to
Informationen ein, die der Datenexporteur benötigt, um über die		decide on the authorisation. The list of sub-processors already
Genehmigung zu entscheiden. Die Liste der vom Datenexporteur bereits		authorised by the data exporter can be found in Annex III. The Parties
genehmigten Unterauftragsverarbeiter findet sich in Anhang III. Die Parteien		shall keep Annex III up to date.
halten Anhang III jeweils auf dem neuesten Stand.
		OPTION 2: GENERAL WRITTEN AUTHORISATION The data importer
OPTION 2: ALLGEMEINE SCHRIFTLICHE GENEHMIGUNG. Der		has the data exporter’s general authorisation for the engagement of
Datenimporteur besitzt die allgemeine Genehmigung des Datenexporteurs für		sub-processor(s) from an agreed list. The data importer shall specifically
die Beauftragung von Unterauftragsverarbeitern, die in einer vereinbarten		inform the data exporter in writing of any intended changes to that list
Liste aufgeführt sind. Der Datenimporteur unterrichtet den Datenexporteur		through the addition or replacement of sub-processors at least [Specify
mindestens [Zeitraum angeben] im Voraus ausdrücklich in schriftlicher Form		time period] in advance, thereby giving the data exporter sufficient time
über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder		to be able to object to such changes prior to the engagement of the sub-
Ersetzen von Unterauftragsverarbeitern und räumt dem Datenexporteur damit		processor(s). The data importer shall provide the data exporter with the
ausreichend Zeit ein, um vor der Beauftragung des/der		information necessary to enable the data exporter to exercise its right to
Unterauftragsverarbeiter/s Einwände gegen diese Änderungen erheben zu		object.
können. Der Datenimporteur stellt dem Datenexporteur die erforderlichen
Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben
kann.
b) Beauftragt der Datenimporteur einen Unterauftragsverarbeiter mit der		(b) Where the data importer engages a sub-processor to carry out
Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des		specific processing activities (on behalf of the data exporter), it shall do
Datenexporteurs), so muss diese Beauftragung im Wege eines schriftlichen		so by way of a written contract that provides for, in substance, the same

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 25 von 75

[Seite 26]

Vertrags erfolgen, der im Wesentlichen dieselben Datenschutzpflichten	data protection obligations as those binding the data importer under these Clauses, including in terms of third-party beneficiary rights for data subjects. (7) The Parties agree that, by complying with this Clause, the data importer fulfils its obligations under Clause 8.8. The data importer shall ensure that the sub-processor complies with the obligations to which the data importer is subject pursuant to these Clauses.	data protection obligations as those binding the data importer under
vorsieht wie diejenigen, die den Datenimporteur gemäß diesen Klauseln		these Clauses, including in terms of third-party beneficiary rights for
binden, einschließlich im Hinblick auf Rechte als Drittbegünstigte für		data subjects. (7) The Parties agree that, by complying with this Clause,
betroffene Personen.7 Die Parteien erklären sich damit einverstanden, dass		the data importer fulfils its obligations under Clause 8.8. The data
der Datenimporteur durch Einhaltung der vorliegenden Klausel seinen		importer shall ensure that the sub-processor complies with the
Pflichten gemäß Klausel 8.8 nachkommt. Der Datenimporteur stellt sicher,		obligations to which the data importer is subject pursuant to these
dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der		Clauses.
Datenimporteur gemäß diesen Klauseln unterliegt.
c) Der Datenimporteur stellt dem Datenexporteur auf dessen Verlangen eine	(c) The data importer shall provide, at the data exporter’s request, a copy of such a sub-processor agreement and any subsequent amendments to the data exporter. To the extent necessary to protect business secrets or other confidential information, including personal data, the data importer may redact the text of the agreement prior to sharing a copy.	(c) The data importer shall provide, at the data exporter’s request, a
Kopie einer solchen Untervergabevereinbarung und etwaiger späterer		copy of such a sub-processor agreement and any subsequent
Änderungen zur Verfügung. Soweit es zum Schutz von		amendments to the data exporter. To the extent necessary to protect
Geschäftsgeheimnissen oder anderen vertraulichen Informationen,		business secrets or other confidential information, including personal
einschließlich personenbezogener Daten, notwendig ist, kann der		data, the data importer may redact the text of the agreement prior to
Datenimporteur den Wortlaut der Vereinbarung vor der Weitergabe einer		sharing a copy.
Kopie unkenntlich machen.
d) Der Datenimporteur haftet gegenüber dem Datenexporteur in vollem	(d) The data importer shall remain fully responsible to the data exporter for the performance of the sub-processor’s obligations under its contract with the data importer. The data importer shall notify the data exporter of any failure by the sub-processor to fulfil its obligations under that contract.	(d) The data importer shall remain fully responsible to the data exporter
Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten gemäß		for the performance of the sub-processor’s obligations under its contract
dem mit dem Datenimporteur geschlossenen Vertrag nachkommt. Der		with the data importer. The data importer shall notify the data exporter
Datenimporteur benachrichtigt den Datenexporteur, wenn der		of any failure by the sub-processor to fulfil its obligations under that
Unterauftragsverarbeiter seinen Pflichten gemäß diesem Vertrag nicht		contract.
nachkommt.
e) Der Datenimporteur vereinbart mit dem Unterauftragsverarbeiter eine	(e) The data importer shall agree a third-party beneficiary clause with the sub-processor whereby – in the event the data importer has factually disappeared, ceased to exist in law or has become insolvent – the data exporter shall have the right to terminate the sub-processor contract and to instruct the sub-processor to erase or return the personal data.	(e) The data importer shall agree a third-party beneficiary clause with
Drittbegünstigtenklausel, wonach der Datenexporteur — sollte der		the sub-processor whereby – in the event the data importer has factually
Datenimporteur faktisch oder rechtlich nicht mehr bestehen oder		disappeared, ceased to exist in law or has become insolvent – the data
zahlungsunfähig sein — das Recht hat, den Untervergabevertrag zu kündigen		exporter shall have the right to terminate the sub-processor contract and
und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen		to instruct the sub-processor to erase or return the personal data.
Daten zu löschen oder zurückzugeben.
MODUL DREI: Übermittlung von Auftragsverarbeitern an	MODULE THREE: Transfer processor to processor	MODULE THREE: Transfer processor to processor
Auftragsverarbeiter
a) OPTION 1: VORHERIGE GESONDERTE GENEHMIGUNG. Der		(a) OPTION 1: SPECIFIC PRIOR AUTHORISATION The data importer
Datenimporteur darf keine seiner Verarbeitungstätigkeiten, die er im Auftrag		shall not sub-contract any of its processing activities performed on

7 Diese Anforderung ist gegebenenfalls vom Unterauftragsverarbeiter zu erfüllen, der diesen Klauseln gemäß Klausel 7 im Rahmen des betreffenden Moduls beitritt. / This requirement may be satisfied by the sub- processor acceding to these Clauses under the appropriate Module, in accordance with Clause 7.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 26 von 75

[Seite 27]

des Datenexporteurs gemäß diesen Klauseln durchführt, ohne vorherige	behalf of the data exporter under these Clauses to a sub-processor without the prior specific written authorisation of the controller. The data importer shall submit the request for specific authorisation at least [Specify time period] prior to the engagement of the sub-processor, together with the information necessary to enable the controller to decide on the authorisation. It shall inform the data exporter of such engagement. The list of sub-processors already authorised by the controller can be found in Annex III. The Parties shall keep Annex III up to date. OPTION 2: GENERAL WRITTEN AUTHORISATION The data importer has the controller’s general authorisation for the engagement of sub- processor(s) from an agreed list. The data importer shall specifically inform the controller in writing of any intended changes to that list through the addition or replacement of sub-processors at least [Specify time period] in advance, thereby giving the controller sufficient time to be able to object to such changes prior to the engagement of the sub- processor(s). The data importer shall provide the controller with the information necessary to enable the controller to exercise its right to object. The data importer shall inform the data exporter of the engagement of the sub-processor(s).	behalf of the data exporter under these Clauses to a sub-processor
gesonderte schriftliche Genehmigung des Verantwortlichen an einen		without the prior specific written authorisation of the controller. The data
Unterauftragsverarbeiter untervergeben. Der Datenimporteur reicht den		importer shall submit the request for specific authorisation at least
Antrag auf die gesonderte Genehmigung mindestens [Zeitraum angeben] vor		[Specify time period] prior to the engagement of the sub-processor,
der Beauftragung des Unterauftragsverarbeiters zusammen mit den		together with the information necessary to enable the controller to
Informationen ein, die der Verantwortliche benötigt, um über die		decide on the authorisation. It shall inform the data exporter of such
Genehmigung zu entscheiden. Er informiert den Datenexporteur über eine		engagement. The list of sub-processors already authorised by the
solche Beauftragung. Die Liste der vom Verantwortlichen bereits		controller can be found in Annex III. The Parties shall keep Annex III up
genehmigten Unterauftragsverarbeiter findet sich in Anhang III. Die Parteien		to date.
halten Anhang III jeweils auf dem neuesten Stand.
		OPTION 2: GENERAL WRITTEN AUTHORISATION The data importer
OPTION 2: ALLGEMEINE SCHRIFTLICHE GENEHMIGUNG. Der		has the controller’s general authorisation for the engagement of sub-
Datenimporteur besitzt die allgemeine Genehmigung des Verantwortlichen für		processor(s) from an agreed list. The data importer shall specifically
die Beauftragung von Unterauftragsverarbeitern, die in einer vereinbarten		inform the controller in writing of any intended changes to that list
Liste aufgeführt sind. Der Datenimporteur unterrichtet den Verantwortlichen		through the addition or replacement of sub-processors at least [Specify
mindestens [Zeitraum angeben] im Voraus ausdrücklich in schriftlicher Form		time period] in advance, thereby giving the controller sufficient time to
über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder		be able to object to such changes prior to the engagement of the sub-
Ersetzen von Unterauftragsverarbeitern und räumt dem Verantwortlichen		processor(s). The data importer shall provide the controller with the
damit ausreichend Zeit ein, um vor der Beauftragung des/der		information necessary to enable the controller to exercise its right to
Unterauftragsverarbeiter/s Einwände gegen diese Änderungen erheben zu		object. The data importer shall inform the data exporter of the
können. Der Datenimporteur stellt dem Verantwortlichen die erforderlichen		engagement of the sub-processor(s).
Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben
kann. Der Datenimporteur unterrichtet den Datenexporteur über die
Beauftragung des/der Unterauftragsverarbeiter/s.
b) Beauftragt der Datenimporteur einen Unterauftragsverarbeiter mit der	(b) Where the data importer engages a sub-processor to carry out specific processing activities (on behalf of the controller), it shall do so by way of a written contract that provides for, in substance, the same data protection obligations as those binding the data importer under these Clauses, including in terms of third-party beneficiary rights for data subjects. (8) The Parties agree that, by complying with this Clause, the data importer fulfils its obligations under Clause 8.8. The data importer shall ensure that the sub-processor complies with the obligations to which the data importer is subject pursuant to these Clauses.	(b) Where the data importer engages a sub-processor to carry out
Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des		specific processing activities (on behalf of the controller), it shall do so
Verantwortlichen), so muss diese Beauftragung im Wege eines schriftlichen		by way of a written contract that provides for, in substance, the same
Vertrags erfolgen, der im Wesentlichen dieselben Datenschutzpflichten		data protection obligations as those binding the data importer under
vorsieht wie diejenigen, die den Datenimporteur gemäß diesen Klauseln		these Clauses, including in terms of third-party beneficiary rights for
binden, einschließlich im Hinblick auf Rechte als Drittbegünstigte für		data subjects. (8) The Parties agree that, by complying with this Clause,
betroffene Personen.8 Die Parteien erklären sich damit einverstanden, dass		the data importer fulfils its obligations under Clause 8.8. The data
der Datenimporteur durch Einhaltung der vorliegenden Klausel seinen		importer shall ensure that the sub-processor complies with the
Pflichten gemäß Klausel 8.8 nachkommt. Der Datenimporteur stellt sicher,		obligations to which the data importer is subject pursuant to these
dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der		Clauses.
Datenimporteur gemäß diesen Klauseln unterliegt.

8 Diese Anforderung ist gegebenenfalls vom Unterauftragsverarbeiter zu erfüllen, der diesen Klauseln gemäß Klausel 7 im Rahmen des betreffenden Moduls beitritt. / This requirement may be satisfied by the sub- processor acceding to these Clauses under the appropriate Module, in accordance with Clause 7.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 27 von 75

[Seite 28]

c) Auf Verlangen des Datenexporteurs oder des Verantwortlichen stellt der	(c) The data importer shall provide, at the data exporter’s or controller’s request, a copy of such a sub-processor agreement and any subsequent amendments. To the extent necessary to protect business secrets or other confidential information, including personal data, the data importer may redact the text of the agreement prior to sharing a copy.	(c) The data importer shall provide, at the data exporter’s or controller’s
Datenimporteur eine Kopie einer solchen Untervergabevereinbarung und		request, a copy of such a sub-processor agreement and any
etwaiger späterer Änderungen zur Verfügung. Soweit es zum Schutz von		subsequent amendments. To the extent necessary to protect business
Geschäftsgeheimnissen oder anderen vertraulichen Informationen,		secrets or other confidential information, including personal data, the
einschließlich personenbezogener Daten, notwendig ist, kann der		data importer may redact the text of the agreement prior to sharing a
Datenimporteur den Wortlaut der Vereinbarung vor der Weitergabe einer		copy.
Kopie unkenntlich machen.
d) Der Datenimporteur haftet gegenüber dem Datenexporteur in vollem	(d) The data importer shall remain fully responsible to the data exporter for the performance of the sub-processor’s obligations under its contract with the data importer. The data importer shall notify the data exporter of any failure by the sub-processor to fulfil its obligations under that contract.	(d) The data importer shall remain fully responsible to the data exporter
Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten gemäß		for the performance of the sub-processor’s obligations under its contract
dem mit dem Datenimporteur geschlossenen Vertrag nachkommt. Der		with the data importer. The data importer shall notify the data exporter
Datenimporteur benachrichtigt den Datenexporteur, wenn der		of any failure by the sub-processor to fulfil its obligations under that
Unterauftragsverarbeiter seinen Pflichten gemäß diesem Vertrag nicht		contract.
nachkommt.
e) Der Datenimporteur vereinbart mit dem Unterauftragsverarbeiter eine	(e) The data importer shall agree a third-party beneficiary clause with the sub-processor whereby – in the event the data importer has factually disappeared, ceased to exist in law or has become insolvent – the data exporter shall have the right to terminate the sub-processor contract and to instruct the sub-processor to erase or return the personal data.	(e) The data importer shall agree a third-party beneficiary clause with
Drittbegünstigtenklausel, wonach der Datenexporteur — sollte der		the sub-processor whereby – in the event the data importer has factually
Datenimporteur faktisch oder rechtlich nicht mehr bestehen oder		disappeared, ceased to exist in law or has become insolvent – the data
zahlungsunfähig sein — das Recht hat, den Untervergabevertrag zu kündigen		exporter shall have the right to terminate the sub-processor contract and
und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen		to instruct the sub-processor to erase or return the personal data.
Daten zu löschen oder zurückzugeben.
Klausel 10		Clause 10
Rechte betroffener Personen		Data subject rights
MODUL EINS: Übermittlung von Verantwortlichen an Verantwortliche		MODULE ONE: Transfer controller to controller
a) Der Datenimporteur bearbeitet, gegebenenfalls mit Unterstützung des	(a) The data importer, where relevant with the assistance of the data exporter, shall deal with any enquiries and requests it receives from a data subject relating to the processing of his/her personal data and the exercise of his/her rights under these Clauses without undue delay and at the latest within one month of the receipt of the enquiry or request. (9) The data importer shall take appropriate measures to facilitate such enquiries, requests and the exercise of data subject rights. Any	(a) The data importer, where relevant with the assistance of the data
Datenexporteurs, alle Anfragen und Anträge einer betroffenen Person im		exporter, shall deal with any enquiries and requests it receives from a
Zusammenhang mit der Verarbeitung ihrer personenbezogenen Daten und		data subject relating to the processing of his/her personal data and the
der Ausübung ihrer Rechte gemäß diesen Klauseln unverzüglich, spätestens		exercise of his/her rights under these Clauses without undue delay and
jedoch innerhalb eines Monats nach Eingang der Anfrage oder des Antrags.9		at the latest within one month of the receipt of the enquiry or request. (9)
Der Datenimporteur trifft geeignete Maßnahmen, um solche Anfragen und		The data importer shall take appropriate measures to facilitate such
Anträge und die Ausübung der Rechte betroffener Personen zu erleichtern.		enquiries, requests and the exercise of data subject rights. Any
Alle Informationen, die der betroffenen Person zur Verfügung gestellt werden,

9 Diese Frist kann um höchstens zwei weitere Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Datenimporteur unterrichtet die betreffende Person ordnungsgemäß und unverzüglich über eine solche Verlängerung. / That period may be extended by a maximum of two more months, to the extent necessary taking into account the complexity and number of requests. The data importer shall duly and promptly inform the data subject of any such extension.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 28 von 75

[Seite 29]

müssen in verständlicher und leicht zugänglicher Form vorliegen und in einer		information provided to the data subject shall be in an intelligible and
klaren und einfachen Sprache abgefasst sein.		easily accessible form, using clear and plain language.
b) Insbesondere unternimmt der Datenimporteur auf Antrag der betroffenen	(b) In particular, upon request by the data subject the data importer shall, free of charge: (i) provide confirmation to the data subject as to whether personal data concerning him/her is being processed and, where this is the case, a copy of the data relating to him/her and the information in Annex I; if personal data has been or will be onward transferred, provide information on recipients or categories of recipients (as appropriate with a view to providing meaningful information) to which the personal data has been or will be onward transferred, the purpose of such onward transfers and their ground pursuant to Clause 8.7; and provide information on the right to lodge a complaint with a supervisory authority in accordance with Clause 12(c)(i); (ii) rectify inaccurate or incomplete data concerning the data subject; (iii) erase personal data concerning the data subject if such data is being or has been processed in violation of any of these Clauses ensuring third-party beneficiary rights, or if the data subject withdraws the consent on which the processing is based.	(b) In particular, upon request by the data subject the data importer
Person folgende Handlungen, wobei der betroffenen Person keine Kosten		shall, free of charge:
entstehen:
		(i) provide confirmation to the data subject as to whether personal data
i) Er legt der betroffenen Person eine Bestätigung darüber vor, ob sie		concerning him/her is being processed and, where this is the case, a
betreffende personenbezogene Daten verarbeitet werden, und, falls dies der		copy of the data relating to him/her and the information in Annex I; if
Fall ist, stellt er ihr eine Kopie der sie betreffenden Daten und die in Anhang I		personal data has been or will be onward transferred, provide
enthaltenen Informationen zur Verfügung; er stellt, falls personenbezogene		information on recipients or categories of recipients (as appropriate with
Daten weiterübermittelt wurden oder werden, Informationen über die		a view to providing meaningful information) to which the personal data
Empfänger oder Kategorien von Empfängern (je nach Bedarf zur		has been or will be onward transferred, the purpose of such onward
Bereitstellung aussagekräftiger Informationen), an die die		transfers and their ground pursuant to Clause 8.7; and provide
personenbezogenen Daten weiterübermittelt wurden oder werden, sowie		information on the right to lodge a complaint with a supervisory authority
über den Zweck dieser Weiterübermittlung und deren Grund gemäß Klausel		in accordance with Clause 12(c)(i);
8.7 bereit; er informiert die betroffene Person über ihr Recht, gemäß
		(ii) rectify inaccurate or incomplete data concerning the data subject;
Klausel 12 Buchstabe c Ziffer i bei einer Aufsichtsbehörde Beschwerde
einzulegen;		(iii) erase personal data concerning the data subject if such data is being
		or has been processed in violation of any of these Clauses ensuring
ii) er berichtigt unrichtige oder unvollständige Daten über die betroffene
		third-party beneficiary rights, or if the data subject withdraws the
Person;
		consent on which the processing is based.
iii) er löscht personenbezogene Daten, die sich auf die betroffene Person
beziehen, wenn diese Daten unter Verstoß gegen eine dieser Klauseln, die
Rechte als Drittbegünstigte gewährleisten, verarbeitet werden oder wurden
oder wenn die betroffene Person ihre Einwilligung, auf die sich die
Verarbeitung stützt, widerruft.
c) Verarbeitet der Datenimporteur die personenbezogenen Daten für Zwecke		(c) Where the data importer processes the personal data for direct
der Direktwerbung, so stellt er die Verarbeitung für diese Zwecke ein, wenn		marketing purposes, it shall cease processing for such purposes if the
die betroffene Person Widerspruch dagegen einlegt.		data subject objects to it.
d) Der Datenimporteur trifft keine Entscheidung, die ausschließlich auf der		(d) The data importer shall not make a decision based solely on the
automatisierten Verarbeitung der übermittelten personenbezogenen Daten		automated processing of the personal data transferred (hereinafter
beruht (im Folgenden „automatisierte Entscheidung“), welche rechtliche		‘automated decision’), which would produce legal effects concerning the
Wirkung für die betroffene Person entfalten oder sie in ähnlicher Weise		data subject or similarly significantly affect him/her, unless with the
erheblich beeinträchtigen würde, es sei denn, die betroffene Person hat		explicit consent of the data subject or if authorised to do so under the
hierzu ihre ausdrückliche Einwilligung gegeben oder eine solche Verarbeitung		laws of the country of destination, provided that such laws lays down
ist nach den Rechtsvorschriften des Bestimmungslandes zulässig und in		suitable measures to safeguard the data subject’s rights and legitimate

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 29 von 75

[Seite 30]

diesen sind angemessene Maßnahmen zur Wahrung der Rechte und	interests. In this case, the data importer shall, where necessary in cooperation with the data exporter: (i) inform the data subject about the envisaged automated decision, the envisaged consequences and the logic involved; and (ii) implement suitable safeguards, at least by enabling the data subject to contest the decision, express his/her point of view and obtain review by a human being.	interests. In this case, the data importer shall, where necessary in
Freiheiten sowie der berechtigten Interessen der betroffenen Person		cooperation with the data exporter:
festgelegt. In diesem Fall muss der Datenimporteur, erforderlichenfalls in
		(i) inform the data subject about the envisaged automated decision, the
Zusammenarbeit mit dem Datenexporteur,
		envisaged consequences and the logic involved; and
i) die betroffene Person über die geplante automatisierte Entscheidung, die
		(ii) implement suitable safeguards, at least by enabling the data subject
angestrebten Auswirkungen und die damit verbundene Logik unterrichten und
		to contest the decision, express his/her point of view and obtain review
ii) geeignete Garantien umsetzen, die mindestens bewirken, dass die		by a human being.
betroffene Person die Entscheidung anfechten, ihren Standpunkt darlegen
und eine Überprüfung durch einen Menschen erwirken kann.
e) Bei exzessiven Anträgen einer betroffenen Person — insbesondere im Fall	(e) Where requests from a data subject are excessive, in particular because of their repetitive character, the data importer may either charge a reasonable fee taking into account the administrative costs of granting the request or refuse to act on the request.	(e) Where requests from a data subject are excessive, in particular
von häufiger Wiederholung — kann der Datenimporteur entweder eine		because of their repetitive character, the data importer may either
angemessene Gebühr unter Berücksichtigung der Verwaltungskosten für die		charge a reasonable fee taking into account the administrative costs of
Erledigung des Antrags verlangen oder sich weigern, aufgrund des Antrags		granting the request or refuse to act on the request.
tätig zu werden.
f) Der Datenimporteur kann den Antrag einer betroffenen Person ablehnen,	(f) The data importer may refuse a data subject’s request if such refusal is allowed under the laws of the country of destination and is necessary and proportionate in a democratic society to protect one of the objectives listed in Article 23(1) of Regulation (EU) 2016/679.	(f) The data importer may refuse a data subject’s request if such refusal
wenn eine solche Ablehnung nach den Rechtsvorschriften des		is allowed under the laws of the country of destination and is necessary
Bestimmungslandes zulässig und in einer demokratischen Gesellschaft		and proportionate in a democratic society to protect one of the
notwendig und verhältnismäßig ist, um eines der in Artikel 23 Absatz 1 der		objectives listed in Article 23(1) of Regulation (EU) 2016/679.
Verordnung (EU) 2016/679 aufgeführten Ziele zu schützen.
g) Beabsichtigt der Datenimporteur, den Antrag einer betroffenen Person	(g) If the data importer intends to refuse a data subject’s request, it shall inform the data subject of the reasons for the refusal and the possibility of lodging a complaint with the competent supervisory authority and/or seeking judicial redress.	(g) If the data importer intends to refuse a data subject’s request, it shall
abzulehnen, so unterrichtet er die betroffene Person über die Gründe für die		inform the data subject of the reasons for the refusal and the possibility
Ablehnung und über die Möglichkeit, Beschwerde bei der zuständigen		of lodging a complaint with the competent supervisory authority and/or
Aufsichtsbehörde einzulegen und/oder einen gerichtlichen Rechtsbehelf		seeking judicial redress.
einzulegen.
MODUL ZWEI: Übermittlung von Verantwortlichen an	MODULE TWO: Transfer controller to processor	MODULE TWO: Transfer controller to processor
Auftragsverarbeiter
a) Der Datenimporteur unterrichtet den Datenexporteur unverzüglich über	(a) The data importer shall promptly notify the data exporter of any request it has received from a data subject. It shall not respond to that request itself unless it has been authorised to do so by the data exporter.	(a) The data importer shall promptly notify the data exporter of any
jeden Antrag, den er von einer betroffenen Person erhalten hat. Er		request it has received from a data subject. It shall not respond to that
beantwortet diesen Antrag nicht selbst, es sei denn, er wurde vom		request itself unless it has been authorised to do so by the data exporter.
Datenexporteur dazu ermächtigt.
b) Der Datenimporteur unterstützt den Datenexporteur bei der Erfüllung von		(b) The data importer shall assist the data exporter in fulfilling its
dessen Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte		obligations to respond to data subjects’ requests for the exercise of their

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 30 von 75

[Seite 31]

gemäß der Verordnung (EU) 2016/679 zu beantworten. Zu diesem Zweck		rights under Regulation (EU) 2016/679. In this regard, the Parties shall
legen die Parteien in Anhang II unter Berücksichtigung der Art der		set out in Annex II the appropriate technical and organisational
Verarbeitung die geeigneten technischen und organisatorischen		measures, taking into account the nature of the processing, by which
Maßnahmen, durch die Unterstützung geleistet wird, sowie den		the assistance shall be provided, as well as the scope and the extent of
Anwendungsbereich und den Umfang der erforderlichen Unterstützung fest.		the assistance required.
c) Bei der Erfüllung seiner Pflichten gemäß den Buchstaben a und b befolgt		(c) In fulfilling its obligations under paragraphs (a) and (b), the data
der Datenimporteur die Weisungen des Datenexporteurs.		importer shall comply with the instructions from the data exporter.
MODUL DREI: Übermittlung von Auftragsverarbeitern an	MODULE THREE: Transfer processor to processor	MODULE THREE: Transfer processor to processor
Auftragsverarbeiter
a) Der Datenimporteur unterrichtet den Datenexporteur und gegebenenfalls		(a) The data importer shall promptly notify the data exporter and, where
den Verantwortlichen unverzüglich über jeden Antrag, den er von einer		appropriate, the controller of any request it has received from a data
betroffenen Person erhält; er beantwortet diesen Antrag erst dann, wenn er		subject, without responding to that request unless it has been
vom Verantwortlichen dazu ermächtigt wurde.		authorised to do so by the controller.
b) Der Datenimporteur unterstützt den Verantwortlichen, gegebenenfalls in	(b) The data importer shall assist, where appropriate in cooperation with the data exporter, the controller in fulfilling its obligations to respond to data subjects’ requests for the exercise of their rights under Regulation (EU) 2016/679 or Regulation (EU) 2018/1725, as applicable. In this regard, the Parties shall set out in Annex II the appropriate technical and organisational measures, taking into account the nature of the processing, by which the assistance shall be provided, as well as the scope and the extent of the assistance required.	(b) The data importer shall assist, where appropriate in cooperation with
Zusammenarbeit mit dem Datenexporteur, bei der Erfüllung von dessen		the data exporter, the controller in fulfilling its obligations to respond to
Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte gemäß der		data subjects’ requests for the exercise of their rights under Regulation
Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 zu		(EU) 2016/679 or Regulation (EU) 2018/1725, as applicable. In this
beantworten. Zu diesem Zweck legen die Parteien in Anhang II unter		regard, the Parties shall set out in Annex II the appropriate technical and
Berücksichtigung der Art der Verarbeitung die geeigneten technischen und		organisational measures, taking into account the nature of the
organisatorischen Maßnahmen, durch die Unterstützung geleistet wird, sowie		processing, by which the assistance shall be provided, as well as the
den Anwendungsbereich und den Umfang der erforderlichen Unterstützung		scope and the extent of the assistance required.
fest.
c) Bei der Erfüllung seiner Pflichten gemäß den Buchstaben a und b befolgt		(c) In fulfilling its obligations under paragraphs (a) and (b), the data
der Datenimporteur die Weisungen des Verantwortlichen, die ihm vom		importer shall comply with the instructions from the controller, as
Datenexporteur übermittelt wurden.		communicated by the data exporter.
MODUL VIER: Übermittlung von Auftragsverarbeitern an	MODULE FOUR: Transfer processor to controller	MODULE FOUR: Transfer processor to controller
Verantwortliche
Die Parteien unterstützen sich gegenseitig bei der Beantwortung von	The Parties shall assist each other in responding to enquiries and requests made by data subjects under the local law applicable to the data importer or, for data processing by the data exporter in the EU, under Regulation (EU) 2016/679.	The Parties shall assist each other in responding to enquiries and
Anfragen und Anträgen, die von betroffenen Personen gemäß den für den		requests made by data subjects under the local law applicable to the
Datenimporteur geltenden lokalen Rechtsvorschriften oder — bei der		data importer or, for data processing by the data exporter in the EU,
Datenverarbeitung durch den Datenexporteur in der Union — gemäß der		under Regulation (EU) 2016/679.
Verordnung (EU) 2016/679 gestellt werden.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 31 von 75

[Seite 32]

Klausel 11		Clause 11
Rechtsbehelf		Redress
a) Der Datenimporteur informiert die betroffenen Personen in transparenter	(a) The data importer shall inform data subjects in a transparent and easily accessible format, through individual notice or on its website, of a contact point authorised to handle complaints. It shall deal promptly with any complaints it receives from a data subject. [OPTION: The data importer agrees that data subjects may also lodge a complaint with an independent dispute resolution body (10) at no cost to the data subject. It shall inform the data subjects, in the manner set out in paragraph (a), of such redress mechanism and that they are not required to use it, or follow a particular sequence in seeking redress.]	(a) The data importer shall inform data subjects in a transparent and
und leicht zugänglicher Form mittels individueller Benachrichtigung oder auf		easily accessible format, through individual notice or on its website, of
seiner Website über eine Anlaufstelle, die befugt ist, Beschwerden zu		a contact point authorised to handle complaints. It shall deal promptly
bearbeiten. Er bearbeitet umgehend alle Beschwerden, die er von einer		with any complaints it receives from a data subject.
betroffenen Person erhält.
		[OPTION: The data importer agrees that data subjects may also lodge
[OPTION: Der Datenimporteur erklärt sich damit einverstanden, dass		a complaint with an independent dispute resolution body (10) at no cost
betroffene Personen eine Beschwerde auch bei einer unabhängigen		to the data subject. It shall inform the data subjects, in the manner set
Streitbeilegungsstelle10 einreichen können, ohne dass für die betroffene		out in paragraph (a), of such redress mechanism and that they are not
Person Kosten entstehen. Er unterrichtet die betroffenen Personen in der		required to use it, or follow a particular sequence in seeking redress.]
unter Buchstabe a beschriebenen Weise über einen solchen
Rechtsbehelfsmechanismus sowie darüber, dass sie nicht verpflichtet sind,
davon Gebrauch zu machen oder bei der Einlegung eines Rechtsbehelfs eine
bestimmte Reihenfolge einzuhalten.]
MODUL EINS: Übermittlung von Verantwortlichen an Verantwortliche	MODULE ONE: Transfer controller to controller	MODULE ONE: Transfer controller to controller
b) Im Falle einer Streitigkeit zwischen einer betroffenen Person und einer der		(b) In case of a dispute between a data subject and one of the Parties
Parteien bezüglich der Einhaltung dieser Klauseln bemüht sich die		as regards compliance with these Clauses, that Party shall use its best
betreffende Partei nach besten Kräften um eine zügige gütliche Beilegung.		efforts to resolve the issue amicably in a timely fashion. The Parties shall
Die Parteien halten einander über derartige Streitigkeiten auf dem Laufenden		keep each other informed about such disputes and, where appropriate,
und bemühen sich gegebenenfalls gemeinsam um deren Beilegung.		cooperate in resolving them.
c) Macht die betroffene Person ein Recht als Drittbegünstigte gemäß Klausel		(c) Where the data subject invokes a third-party beneficiary right
3 geltend, erkennt der Datenimporteur die Entscheidung der betroffenen		pursuant to Clause 3, the data importer shall accept the decision of the
Person an,		data subject to:
i) eine Beschwerde bei der Aufsichtsbehörde des Mitgliedstaats ihres		(i) lodge a complaint with the supervisory authority in the Member State
gewöhnlichen Aufenthaltsorts oder ihres Arbeitsorts oder bei der zuständigen		of his/her habitual residence or place of work, or the competent
Aufsichtsbehörde gemäß Klausel 13 einzureichen,		supervisory authority pursuant to Clause 13;

10 Der Datenimporteur darf eine unabhängige Streitbeilegung über eine Schiedsstelle nur dann anbieten, wenn er in einem Land niedergelassen ist, das das New Yorker Übereinkommen über die Anerkennung und Vollstreckung ausländischer Schiedssprüche ratifiziert hat. / The data importer may offer independent dispute resolution through an arbitration body only if it is established in a country that has ratified the New York Convention on Enforcement of Arbitration Awards.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 32 von 75

[Seite 33]

ii) den Streitfall an die zuständigen Gerichte im Sinne der Klausel 18 zu		(ii) refer the dispute to the competent courts within the meaning of
verweisen.		Clause 18.
d) Die Parteien erkennen an, dass die betroffene Person von einer	(d) The Parties accept that the data subject may be represented by a not-for-profit body, organisation or association under the conditions set out in Article 80(1) of Regulation (EU) 2016/679.	(d) The Parties accept that the data subject may be represented by a
Einrichtung, Organisation oder Vereinigung ohne Gewinnerzielungsabsicht		not-for-profit body, organisation or association under the conditions set
gemäß Artikel 80 Absatz 1 der Verordnung (EU) 2016/679 vertreten werden		out in Article 80(1) of Regulation (EU) 2016/679.
kann.
e) Der Datenimporteur unterwirft sich einem nach geltendem Unionsrecht		(e) The data importer shall abide by a decision that is binding under the
oder dem geltenden Recht eines Mitgliedstaats verbindlichen Beschluss.		applicable EU or Member State law.
f) Der Datenimporteur erklärt sich damit einverstanden, dass die	(f) The data importer agrees that the choice made by the data subject will not prejudice his/her substantive and procedural rights to seek remedies in accordance with applicable laws.	(f) The data importer agrees that the choice made by the data subject
Entscheidung der betroffenen Person nicht ihre materiellen Rechte oder		will not prejudice his/her substantive and procedural rights to seek
Verfahrensrechte berührt, Rechtsbehelfe im Einklang mit geltenden		remedies in accordance with applicable laws.
Rechtsvorschriften einzulegen.
MODUL ZWEI: Übermittlung von Verantwortlichen an	MODULE TWO: Transfer controller to processor	MODULE TWO: Transfer controller to processor
Auftragsverarbeiter
b) Im Falle einer Streitigkeit zwischen einer betroffenen Person und einer der		(b) In case of a dispute between a data subject and one of the Parties
Parteien bezüglich der Einhaltung dieser Klauseln bemüht sich die		as regards compliance with these Clauses, that Party shall use its best
betreffende Partei nach besten Kräften um eine zügige gütliche Beilegung.		efforts to resolve the issue amicably in a timely fashion. The Parties shall
Die Parteien halten einander über derartige Streitigkeiten auf dem Laufenden		keep each other informed about such disputes and, where appropriate,
und bemühen sich gegebenenfalls gemeinsam um deren Beilegung.		cooperate in resolving them.
c) Macht die betroffene Person ein Recht als Drittbegünstigte gemäß Klausel		(c) Where the data subject invokes a third-party beneficiary right
3 geltend, erkennt der Datenimporteur die Entscheidung der betroffenen		pursuant to Clause 3, the data importer shall accept the decision of the
Person an,		data subject to:
i) eine Beschwerde bei der Aufsichtsbehörde des Mitgliedstaats ihres		(i) lodge a complaint with the supervisory authority in the Member State
gewöhnlichen Aufenthaltsorts oder ihres Arbeitsorts oder bei der zuständigen		of his/her habitual residence or place of work, or the competent
Aufsichtsbehörde gemäß Klausel 13 einzureichen,		supervisory authority pursuant to Clause 13;
ii) den Streitfall an die zuständigen Gerichte im Sinne der Klausel 18 zu		(ii) refer the dispute to the competent courts within the meaning of
verweisen.		Clause 18.
d) Die Parteien erkennen an, dass die betroffene Person von einer	(d) The Parties accept that the data subject may be represented by a not-for-profit body, organisation or association under the conditions set out in Article 80(1) of Regulation (EU) 2016/679.	(d) The Parties accept that the data subject may be represented by a
Einrichtung, Organisation oder Vereinigung ohne Gewinnerzielungsabsicht		not-for-profit body, organisation or association under the conditions set
gemäß Artikel 80 Absatz 1 der Verordnung (EU) 2016/679 vertreten werden		out in Article 80(1) of Regulation (EU) 2016/679.
kann.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 33 von 75

[Seite 34]

e) Der Datenimporteur unterwirft sich einem nach geltendem Unionsrecht		(e) The data importer shall abide by a decision that is binding under the
oder dem geltenden Recht eines Mitgliedstaats verbindlichen Beschluss.		applicable EU or Member State law.
f) Der Datenimporteur erklärt sich damit einverstanden, dass die	(f) The data importer agrees that the choice made by the data subject will not prejudice his/her substantive and procedural rights to seek remedies in accordance with applicable laws.	(f) The data importer agrees that the choice made by the data subject
Entscheidung der betroffenen Person nicht ihre materiellen Rechte oder		will not prejudice his/her substantive and procedural rights to seek
Verfahrensrechte berührt, Rechtsbehelfe im Einklang mit geltenden		remedies in accordance with applicable laws.
Rechtsvorschriften einzulegen.
MODUL DREI: Übermittlung von Auftragsverarbeitern an	MODULE THREE: Transfer processor to processor	MODULE THREE: Transfer processor to processor
Auftragsverarbeiter
b) Im Falle einer Streitigkeit zwischen einer betroffenen Person und einer der		(b) In case of a dispute between a data subject and one of the Parties
Parteien bezüglich der Einhaltung dieser Klauseln bemüht sich die		as regards compliance with these Clauses, that Party shall use its best
betreffende Partei nach besten Kräften um eine zügige gütliche Beilegung.		efforts to resolve the issue amicably in a timely fashion. The Parties shall
Die Parteien halten einander über derartige Streitigkeiten auf dem Laufenden		keep each other informed about such disputes and, where appropriate,
und bemühen sich gegebenenfalls gemeinsam um deren Beilegung.		cooperate in resolving them.
c) Macht die betroffene Person ein Recht als Drittbegünstigte gemäß Klausel		(c) Where the data subject invokes a third-party beneficiary right
3 geltend, erkennt der Datenimporteur die Entscheidung der betroffenen		pursuant to Clause 3, the data importer shall accept the decision of the
Person an,		data subject to:
i) eine Beschwerde bei der Aufsichtsbehörde des Mitgliedstaats ihres		(i) lodge a complaint with the supervisory authority in the Member State
gewöhnlichen Aufenthaltsorts oder ihres Arbeitsorts oder bei der zuständigen		of his/her habitual residence or place of work, or the competent
Aufsichtsbehörde gemäß Klausel 13 einzureichen,		supervisory authority pursuant to Clause 13;
ii) den Streitfall an die zuständigen Gerichte im Sinne der Klausel 18 zu		(ii) refer the dispute to the competent courts within the meaning of
verweisen.		Clause 18.
d) Die Parteien erkennen an, dass die betroffene Person von einer	(d) The Parties accept that the data subject may be represented by a not-for-profit body, organisation or association under the conditions set out in Article 80(1) of Regulation (EU) 2016/679.	(d) The Parties accept that the data subject may be represented by a
Einrichtung, Organisation oder Vereinigung ohne Gewinnerzielungsabsicht		not-for-profit body, organisation or association under the conditions set
gemäß Artikel 80 Absatz 1 der Verordnung (EU) 2016/679 vertreten werden		out in Article 80(1) of Regulation (EU) 2016/679.
kann.
e) Der Datenimporteur unterwirft sich einem nach geltendem Unionsrecht		(e) The data importer shall abide by a decision that is binding under the
oder dem geltenden Recht eines Mitgliedstaats verbindlichen Beschluss.		applicable EU or Member State law.
f) Der Datenimporteur erklärt sich damit einverstanden, dass die	(f) The data importer agrees that the choice made by the data subject will not prejudice his/her substantive and procedural rights to seek remedies in accordance with applicable laws.	(f) The data importer agrees that the choice made by the data subject
Entscheidung der betroffenen Person nicht ihre materiellen Rechte oder		will not prejudice his/her substantive and procedural rights to seek
Verfahrensrechte berührt, Rechtsbehelfe im Einklang mit geltenden		remedies in accordance with applicable laws.
Rechtsvorschriften einzulegen.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 34 von 75

[Seite 35]

Klausel 12		Clause 12
Haftung		Liability
MODUL EINS: Übermittlung von Verantwortlichen an Verantwortliche		MODULE ONE: Transfer controller to controller
a) Jede Partei haftet gegenüber der/den anderen Partei(en) für Schäden, die	(a) Each Party shall be liable to the other Party/ies for any damages it causes the other Party/ies by any breach of these Clauses.	(a) Each Party shall be liable to the other Party/ies for any damages it
sie der/den anderen Partei(en) durch einen Verstoß gegen diese Klauseln		causes the other Party/ies by any breach of these Clauses.
verursacht.
b) Jede Partei haftet gegenüber der betroffenen Person, und die betroffene		(b) Each Party shall be liable to the data subject, and the data subject
Person hat Anspruch auf Schadenersatz für jeden materiellen oder		shall be entitled to receive compensation, for any material or non-
immateriellen Schaden, den die Partei der betroffenen Person verursacht,		material damages that the Party causes the data subject by breaching
indem sie deren Rechte als Drittbegünstigte gemäß diesen Klauseln verletzt.		the third-party beneficiary rights under these Clauses. This is without
Dies gilt unbeschadet der Haftung des Datenexporteurs gemäß der		prejudice to the liability of the data exporter under Regulation (EU)
Verordnung (EU) 2016/679.		2016/679.
c) Ist mehr als eine Partei für Schäden verantwortlich, die der betroffenen	(c) Where more than one Party is responsible for any damage caused to the data subject as a result of a breach of these Clauses, all responsible Parties shall be jointly and severally liable and the data subject is entitled to bring an action in court against any of these Parties.	(c) Where more than one Party is responsible for any damage caused
Person infolge eines Verstoßes gegen diese Klauseln entstanden sind, so		to the data subject as a result of a breach of these Clauses, all
haften alle verantwortlichen Parteien gesamtschuldnerisch, und die		responsible Parties shall be jointly and severally liable and the data
betroffene Person ist berechtigt, gegen jede der Parteien gerichtlich		subject is entitled to bring an action in court against any of these Parties.
vorzugehen.
d) Die Parteien erklären sich damit einverstanden, dass eine Partei, die nach	(d) The Parties agree that if one Party is held liable under paragraph (c), it shall be entitled to claim back from the other Party/ies that part of the compensation corresponding to its/their responsibility for the damage.	(d) The Parties agree that if one Party is held liable under paragraph (c),
Buchstabe c haftbar gemacht wird, berechtigt ist, von der/den anderen		it shall be entitled to claim back from the other Party/ies that part of the
Partei(en) den Teil des Schadenersatzes zurückzufordern, der deren		compensation corresponding to its/their responsibility for the damage.
Verantwortung für den Schaden entspricht.
e) Der Datenimporteur kann sich nicht auf das Verhalten eines	(e) The data importer may not invoke the conduct of a processor or sub- processor to avoid its own liability.	(e) The data importer may not invoke the conduct of a processor or sub-
Auftragsverarbeiters oder Unterauftragsverarbeiters berufen, um sich seiner		processor to avoid its own liability.
eigenen Haftung zu entziehen.
MODUL VIER: Übermittlung von Auftragsverarbeitern an	MODULE FOUR: Transfer processor to controller	MODULE FOUR: Transfer processor to controller
Verantwortliche
a) Jede Partei haftet gegenüber der/den anderen Partei(en) für Schäden, die	(a) Each Party shall be liable to the other Party/ies for any damages it causes the other Party/ies by any breach of these Clauses.	(a) Each Party shall be liable to the other Party/ies for any damages it
sie der/den anderen Partei(en) durch einen Verstoß gegen diese Klauseln		causes the other Party/ies by any breach of these Clauses.
verursacht.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 35 von 75

[Seite 36]

b) Jede Partei haftet gegenüber der betroffenen Person, und die betroffene		(b) Each Party shall be liable to the data subject, and the data subject
Person hat Anspruch auf Schadenersatz für jeden materiellen oder		shall be entitled to receive compensation, for any material or non-
immateriellen Schaden, den die Partei der betroffenen Person verursacht,		material damages that the Party causes the data subject by breaching
indem sie deren Rechte als Drittbegünstigte gemäß diesen Klauseln verletzt.		the third-party beneficiary rights under these Clauses. This is without
Dies gilt unbeschadet der Haftung des Datenexporteurs gemäß der		prejudice to the liability of the data exporter under Regulation (EU)
Verordnung (EU) 2016/679.		2016/679.
c) Ist mehr als eine Partei für Schäden verantwortlich, die der betroffenen	(c) Where more than one Party is responsible for any damage caused to the data subject as a result of a breach of these Clauses, all responsible Parties shall be jointly and severally liable and the data subject is entitled to bring an action in court against any of these Parties.	(c) Where more than one Party is responsible for any damage caused
Person infolge eines Verstoßes gegen diese Klauseln entstanden sind, so		to the data subject as a result of a breach of these Clauses, all
haften alle verantwortlichen Parteien gesamtschuldnerisch, und die		responsible Parties shall be jointly and severally liable and the data
betroffene Person ist berechtigt, gegen jede der Parteien gerichtlich		subject is entitled to bring an action in court against any of these Parties.
vorzugehen.
d) Die Parteien erklären sich damit einverstanden, dass eine Partei, die nach	(d) The Parties agree that if one Party is held liable under paragraph (c), it shall be entitled to claim back from the other Party/ies that part of the compensation corresponding to its/their responsibility for the damage.	(d) The Parties agree that if one Party is held liable under paragraph (c),
Buchstabe c haftbar gemacht wird, berechtigt ist, von der/den anderen		it shall be entitled to claim back from the other Party/ies that part of the
Partei(en) den Teil des Schadenersatzes zurückzufordern, der deren		compensation corresponding to its/their responsibility for the damage.
Verantwortung für den Schaden entspricht.
e) Der Datenimporteur kann sich nicht auf das Verhalten eines	(e) The data importer may not invoke the conduct of a processor or sub- processor to avoid its own liability.	(e) The data importer may not invoke the conduct of a processor or sub-
Auftragsverarbeiters oder Unterauftragsverarbeiters berufen, um sich seiner		processor to avoid its own liability.
eigenen Haftung zu entziehen.
MODUL ZWEI: Übermittlung von Verantwortlichen an	MODULE TWO: Transfer controller to processor	MODULE TWO: Transfer controller to processor
Auftragsverarbeiter
a) Jede Partei haftet gegenüber der/den anderen Partei(en) für Schäden, die	(a) Each Party shall be liable to the other Party/ies for any damages it causes the other Party/ies by any breach of these Clauses.	(a) Each Party shall be liable to the other Party/ies for any damages it
sie der/den anderen Partei(en) durch einen Verstoß gegen diese Klauseln		causes the other Party/ies by any breach of these Clauses.
verursacht.
b) Der Datenimporteur haftet gegenüber der betroffenen Person, und die		(b) The data importer shall be liable to the data subject, and the data
betroffene Person hat Anspruch auf Schadenersatz für jeden materiellen oder		subject shall be entitled to receive compensation, for any material or
immateriellen Schaden, den der Datenimporteur oder sein		non-material damages the data importer or its sub-processor causes the
Unterauftragsverarbeiter der betroffenen Person verursacht, indem er deren		data subject by breaching the third-party beneficiary rights under these
Rechte als Drittbegünstigte gemäß diesen Klauseln verletzt.		Clauses.
c) Ungeachtet von Buchstabe b haftet der Datenimporteur gegenüber der		(c) Notwithstanding paragraph (b), the data exporter shall be liable to
betroffenen Person, und die betroffene Person hat Anspruch auf		the data subject, and the data subject shall be entitled to receive
Schadenersatz für jeden materiellen oder immateriellen Schaden, den der		compensation, for any material or non-material damages the data
Datenexporteur oder der Datenimporteur (oder dessen		exporter or the data importer (or its sub-processor) causes the data
Unterauftragsverarbeiter) der betroffenen Person verursacht, indem er deren		subject by breaching the third-party beneficiary rights under these

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 36 von 75

[Seite 37]

Rechte als Drittbegünstigte gemäß diesen Klauseln verletzt. Dies gilt	Clauses. This is without prejudice to the liability of the data exporter and, where the data exporter is a processor acting on behalf of a controller, to the liability of the controller under Regulation (EU) 2016/679 or Regulation (EU) 2018/1725, as applicable.	Clauses. This is without prejudice to the liability of the data exporter and,
unbeschadet der Haftung des Datenexporteurs und, sofern der		where the data exporter is a processor acting on behalf of a controller,
Datenexporteur ein im Auftrag eines Verantwortlichen handelnder		to the liability of the controller under Regulation (EU) 2016/679 or
Auftragsverarbeiter ist, unbeschadet der Haftung des Verantwortlichen		Regulation (EU) 2018/1725, as applicable.
gemäß der Verordnung (EU) 2016/679 oder gegebenenfalls der Verordnung
(EU) 2018/1725.
d) Die Parteien erklären sich damit einverstanden, dass der Datenexporteur,		(d) The Parties agree that if the data exporter is held liable under
der nach Buchstabe c für durch den Datenimporteur (oder dessen		paragraph (c) for damages caused by the data importer (or its sub-
Unterauftragsverarbeiter) verursachte Schäden haftet, berechtigt ist, vom		processor), it shall be entitled to claim back from the data importer that
Datenimporteur den Teil des Schadenersatzes zurückzufordern, der der		part of the compensation corresponding to the data importer’s
Verantwortung des Datenimporteurs für den Schaden entspricht.		responsibility for the damage.
e) Ist mehr als eine Partei für Schäden verantwortlich, die der betroffenen	(e) Where more than one Party is responsible for any damage caused to the data subject as a result of a breach of these Clauses, all responsible Parties shall be jointly and severally liable and the data subject is entitled to bring an action in court against any of these Parties.	(e) Where more than one Party is responsible for any damage caused
Person infolge eines Verstoßes gegen diese Klauseln entstanden sind, so		to the data subject as a result of a breach of these Clauses, all
haften alle verantwortlichen Parteien gesamtschuldnerisch, und die		responsible Parties shall be jointly and severally liable and the data
betroffene Person ist berechtigt, gegen jede der Parteien gerichtlich		subject is entitled to bring an action in court against any of these Parties.
vorzugehen.
f) Die Parteien erklären sich damit einverstanden, dass eine Partei, die nach	(f) The Parties agree that if one Party is held liable under paragraph (e), it shall be entitled to claim back from the other Party/ies that part of the compensation corresponding to its/their responsibility for the damage.	(f) The Parties agree that if one Party is held liable under paragraph (e),
Buchstabe e haftbar gemacht wird, berechtigt ist, von der/den anderen		it shall be entitled to claim back from the other Party/ies that part of the
Partei(en) den Teil des Schadenersatzes zurückzufordern, der deren		compensation corresponding to its/their responsibility for the damage.
Verantwortung für den Schaden entspricht.
g) Der Datenimporteur kann sich nicht auf das Verhalten eines	(g) The data importer may not invoke the conduct of a sub-processor to avoid its own liability.	(g) The data importer may not invoke the conduct of a sub-processor to
Unterauftragsverarbeiters berufen, um sich seiner eigenen Haftung		avoid its own liability.
entziehen.
MODUL DREI: Übermittlung von Auftragsverarbeitern an	MODULE THREE: Transfer processor to processor	MODULE THREE: Transfer processor to processor
Auftragsverarbeiter
a) Jede Partei haftet gegenüber der/den anderen Partei(en) für Schäden, die	(a) Each Party shall be liable to the other Party/ies for any damages it causes the other Party/ies by any breach of these Clauses.	(a) Each Party shall be liable to the other Party/ies for any damages it
sie der/den anderen Partei(en) durch einen Verstoß gegen diese Klauseln		causes the other Party/ies by any breach of these Clauses.
verursacht.
b) Der Datenimporteur haftet gegenüber der betroffenen Person, und die		(b) The data importer shall be liable to the data subject, and the data
betroffene Person hat Anspruch auf Schadenersatz für jeden materiellen oder		subject shall be entitled to receive compensation, for any material or
immateriellen Schaden, den der Datenimporteur oder sein		non-material damages the data importer or its sub-processor causes the

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 37 von 75

[Seite 38]

Unterauftragsverarbeiter der betroffenen Person verursacht, indem er deren		data subject by breaching the third-party beneficiary rights under these
Rechte als Drittbegünstigte gemäß diesen Klauseln verletzt.		Clauses.
c) Ungeachtet von Buchstabe b haftet der Datenimporteur gegenüber der	(c) Notwithstanding paragraph (b), the data exporter shall be liable to the data subject, and the data subject shall be entitled to receive compensation, for any material or non-material damages the data exporter or the data importer (or its sub-processor) causes the data subject by breaching the third-party beneficiary rights under these Clauses. This is without prejudice to the liability of the data exporter and, where the data exporter is a processor acting on behalf of a controller, to the liability of the controller under Regulation (EU) 2016/679 or Regulation (EU) 2018/1725, as applicable.	(c) Notwithstanding paragraph (b), the data exporter shall be liable to
betroffenen Person, und die betroffene Person hat Anspruch auf		the data subject, and the data subject shall be entitled to receive
Schadenersatz für jeden materiellen oder immateriellen Schaden, den der		compensation, for any material or non-material damages the data
Datenexporteur oder der Datenimporteur (oder dessen		exporter or the data importer (or its sub-processor) causes the data
Unterauftragsverarbeiter) der betroffenen Person verursacht, indem er deren		subject by breaching the third-party beneficiary rights under these
Rechte als Drittbegünstigte gemäß diesen Klauseln verletzt. Dies gilt		Clauses. This is without prejudice to the liability of the data exporter and,
unbeschadet der Haftung des Datenexporteurs und, sofern der		where the data exporter is a processor acting on behalf of a controller,
Datenexporteur ein im Auftrag eines Verantwortlichen handelnder		to the liability of the controller under Regulation (EU) 2016/679 or
Auftragsverarbeiter ist, unbeschadet der Haftung des Verantwortlichen		Regulation (EU) 2018/1725, as applicable.
gemäß der Verordnung (EU) 2016/679 oder gegebenenfalls der Verordnung
(EU) 2018/1725.
d) Die Parteien erklären sich damit einverstanden, dass der Datenexporteur,		(d) The Parties agree that if the data exporter is held liable under
der nach Buchstabe c für durch den Datenimporteur (oder dessen		paragraph (c) for damages caused by the data importer (or its sub-
Unterauftragsverarbeiter) verursachte Schäden haftet, berechtigt ist, vom		processor), it shall be entitled to claim back from the data importer that
Datenimporteur den Teil des Schadenersatzes zurückzufordern, der der		part of the compensation corresponding to the data importer’s
Verantwortung des Datenimporteurs für den Schaden entspricht.		responsibility for the damage.
e) Ist mehr als eine Partei für Schäden verantwortlich, die der betroffenen	(e) Where more than one Party is responsible for any damage caused to the data subject as a result of a breach of these Clauses, all responsible Parties shall be jointly and severally liable and the data subject is entitled to bring an action in court against any of these Parties.	(e) Where more than one Party is responsible for any damage caused
Person infolge eines Verstoßes gegen diese Klauseln entstanden sind, so		to the data subject as a result of a breach of these Clauses, all
haften alle verantwortlichen Parteien gesamtschuldnerisch, und die		responsible Parties shall be jointly and severally liable and the data
betroffene Person ist berechtigt, gegen jede der Parteien gerichtlich		subject is entitled to bring an action in court against any of these Parties.
vorzugehen.
f) Die Parteien erklären sich damit einverstanden, dass eine Partei, die nach	(f) The Parties agree that if one Party is held liable under paragraph (e), it shall be entitled to claim back from the other Party/ies that part of the compensation corresponding to its/their responsibility for the damage.	(f) The Parties agree that if one Party is held liable under paragraph (e),
Buchstabe e haftbar gemacht wird, berechtigt ist, von der/den anderen		it shall be entitled to claim back from the other Party/ies that part of the
Partei(en) den Teil des Schadenersatzes zurückzufordern, der deren		compensation corresponding to its/their responsibility for the damage.
Verantwortung für den Schaden entspricht.
g) Der Datenimporteur kann sich nicht auf das Verhalten eines	(g) The data importer may not invoke the conduct of a sub-processor to avoid its own liability.	(g) The data importer may not invoke the conduct of a sub-processor to
Unterauftragsverarbeiters berufen, um sich seiner eigenen Haftung		avoid its own liability.
entziehen.
Klausel 13		Clause 13
Aufsicht		Supervision

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 38 von 75

[Seite 39]

MODUL EINS: Übermittlung von Verantwortlichen an Verantwortliche		MODULE ONE: Transfer controller to controller
a) [Wenn der Datenexporteur in einem EU-Mitgliedstaat niedergelassen ist:]		(a) [Where the data exporter is established in an EU Member State:]
Die Aufsichtsbehörde, die dafür verantwortlich ist, sicherzustellen, dass der		The supervisory authority with responsibility for ensuring compliance by
Datenexporteur bei Datenübermittlungen die Verordnung (EU) 2016/679		the data exporter with Regulation (EU) 2016/679 as regards the data
einhält, fungiert als zuständige Aufsichtsbehörde (entsprechend der Angabe		transfer, as indicated in Annex I.C, shall act as competent supervisory
in Anhang I.C).		authority.
[Wenn der Datenexporteur nicht in einem EU-Mitgliedstaat niedergelassen ist,		[Where the data exporter is not established in an EU Member State, but
aber nach Artikel 3 Absatz 2 der Verordnung (EU) 2016/679 in den		falls within the territorial scope of application of Regulation (EU)
räumlichen Anwendungsbereich dieser Verordnung fällt und einen Vertreter		2016/679 in accordance with its Article 3(2) and has appointed a
gemäß Artikel 27 Absatz 1 der Verordnung (EU) 2016/679 benannt hat:] Die		representative pursuant to Article 27(1) of Regulation (EU) 2016/679:]
Aufsichtsbehörde des Mitgliedstaats, in dem der Vertreter nach Artikel 27		The supervisory authority of the Member State in which the
Absatz 1 der Verordnung (EU) 2016/679 niedergelassen ist, fungiert als		representative within the meaning of Article 27(1) of Regulation (EU)
zuständige Aufsichtsbehörde (entsprechend der Angabe in Anhang I.C).		2016/679 is established, as indicated in Annex I.C, shall act as
		competent supervisory authority.
[Wenn der Datenexporteur nicht in einem EU-Mitgliedstaat niedergelassen ist,
aber nach Artikel 3 Absatz 2 der Verordnung (EU) 2016/679 in den		[Where the data exporter is not established in an EU Member State, but
räumlichen Anwendungsbereich dieser Verordnung fällt, ohne jedoch einen		falls within the territorial scope of application of Regulation (EU)
Vertreter gemäß Artikel 27 Absatz 2 der Verordnung (EU) 2016/679		2016/679 in accordance with its Article 3(2) without however having to
benennen zu müssen:] Die Aufsichtsbehörde eines der Mitgliedstaaten, in		appoint a representative pursuant to Article 27(2) of Regulation (EU)
denen die betroffenen Personen niedergelassen sind, deren		2016/679:] The supervisory authority of one of the Member States in
personenbezogene Daten gemäß diesen Klauseln im Zusammenhang mit		which the data subjects whose personal data is transferred under these
den ihnen angebotenen Waren oder Dienstleistungen übermittelt werden oder		Clauses in relation to the offering of goods or services to them, or whose
deren Verhalten beobachtet wird, fungiert als zuständige Aufsichtsbehörde		behaviour is monitored, are located, as indicated in Annex I.C, shall act
(entsprechend der Angabe in Anhang I.C).		as competent supervisory authority.
b) Der Datenimporteur erklärt sich damit einverstanden, sich der	(b) The data importer agrees to submit itself to the jurisdiction of and cooperate with the competent supervisory authority in any procedures aimed at ensuring compliance with these Clauses. In particular, the data importer agrees to respond to enquiries, submit to audits and comply with the measures adopted by the supervisory authority, including remedial and compensatory measures. It shall provide the supervisory authority with written confirmation that the necessary actions have been taken.	(b) The data importer agrees to submit itself to the jurisdiction of and
Zuständigkeit der zuständigen Aufsichtsbehörde zu unterwerfen und bei allen		cooperate with the competent supervisory authority in any procedures
Verfahren, mit denen die Einhaltung dieser Klauseln sichergestellt werden		aimed at ensuring compliance with these Clauses. In particular, the data
soll, mit ihr zusammenzuarbeiten. Insbesondere erklärt sich der		importer agrees to respond to enquiries, submit to audits and comply
Datenimporteur damit einverstanden, Anfragen zu beantworten, sich		with the measures adopted by the supervisory authority, including
Prüfungen zu unterziehen und den von der Aufsichtsbehörde getroffenen		remedial and compensatory measures. It shall provide the supervisory
Maßnahmen, darunter auch Abhilfemaßnahmen und Ausgleichsmaßnahmen,		authority with written confirmation that the necessary actions have been
nachzukommen. Er bestätigt der Aufsichtsbehörde in schriftlicher Form, dass		taken.
die erforderlichen Maßnahmen ergriffen wurden.
MODUL ZWEI: Übermittlung von Verantwortlichen an	MODULE TWO: Transfer controller to processor	MODULE TWO: Transfer controller to processor
Auftragsverarbeiter

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 39 von 75

[Seite 40]

a) [Wenn der Datenexporteur in einem EU-Mitgliedstaat niedergelassen ist:]		(a) [Where the data exporter is established in an EU Member State:]
Die Aufsichtsbehörde, die dafür verantwortlich ist, sicherzustellen, dass der		The supervisory authority with responsibility for ensuring compliance by
Datenexporteur bei Datenübermittlungen die Verordnung (EU) 2016/679		the data exporter with Regulation (EU) 2016/679 as regards the data
einhält, fungiert als zuständige Aufsichtsbehörde (entsprechend der Angabe		transfer, as indicated in Annex I.C, shall act as competent supervisory
in Anhang I.C).		authority.
[Wenn der Datenexporteur nicht in einem EU-Mitgliedstaat niedergelassen ist,		[Where the data exporter is not established in an EU Member State, but
aber nach Artikel 3 Absatz 2 der Verordnung (EU) 2016/679 in den		falls within the territorial scope of application of Regulation (EU)
räumlichen Anwendungsbereich dieser Verordnung fällt und einen Vertreter		2016/679 in accordance with its Article 3(2) and has appointed a
gemäß Artikel 27 Absatz 1 der Verordnung (EU) 2016/679 benannt hat:] Die		representative pursuant to Article 27(1) of Regulation (EU) 2016/679:]
Aufsichtsbehörde des Mitgliedstaats, in dem der Vertreter nach Artikel 27		The supervisory authority of the Member State in which the
Absatz 1 der Verordnung (EU) 2016/679 niedergelassen ist, fungiert als		representative within the meaning of Article 27(1) of Regulation (EU)
zuständige Aufsichtsbehörde (entsprechend der Angabe in Anhang I.C).		2016/679 is established, as indicated in Annex I.C, shall act as
		competent supervisory authority.
[Wenn der Datenexporteur nicht in einem EU-Mitgliedstaat niedergelassen ist,
aber nach Artikel 3 Absatz 2 der Verordnung (EU) 2016/679 in den		[Where the data exporter is not established in an EU Member State, but
räumlichen Anwendungsbereich dieser Verordnung fällt, ohne jedoch einen		falls within the territorial scope of application of Regulation (EU)
Vertreter gemäß Artikel 27 Absatz 2 der Verordnung (EU) 2016/679		2016/679 in accordance with its Article 3(2) without however having to
benennen zu müssen:] Die Aufsichtsbehörde eines der Mitgliedstaaten, in		appoint a representative pursuant to Article 27(2) of Regulation (EU)
denen die betroffenen Personen niedergelassen sind, deren		2016/679:] The supervisory authority of one of the Member States in
personenbezogene Daten gemäß diesen Klauseln im Zusammenhang mit		which the data subjects whose personal data is transferred under these
den ihnen angebotenen Waren oder Dienstleistungen übermittelt werden oder		Clauses in relation to the offering of goods or services to them, or whose
deren Verhalten beobachtet wird, fungiert als zuständige Aufsichtsbehörde		behaviour is monitored, are located, as indicated in Annex I.C, shall act
(entsprechend der Angabe in Anhang I.C).		as competent supervisory authority.
b) Der Datenimporteur erklärt sich damit einverstanden, sich der	(b) The data importer agrees to submit itself to the jurisdiction of and cooperate with the competent supervisory authority in any procedures aimed at ensuring compliance with these Clauses. In particular, the data importer agrees to respond to enquiries, submit to audits and comply with the measures adopted by the supervisory authority, including remedial and compensatory measures. It shall provide the supervisory authority with written confirmation that the necessary actions have been taken.	(b) The data importer agrees to submit itself to the jurisdiction of and
Zuständigkeit der zuständigen Aufsichtsbehörde zu unterwerfen und bei allen		cooperate with the competent supervisory authority in any procedures
Verfahren, mit denen die Einhaltung dieser Klauseln sichergestellt werden		aimed at ensuring compliance with these Clauses. In particular, the data
soll, mit ihr zusammenzuarbeiten. Insbesondere erklärt sich der		importer agrees to respond to enquiries, submit to audits and comply
Datenimporteur damit einverstanden, Anfragen zu beantworten, sich		with the measures adopted by the supervisory authority, including
Prüfungen zu unterziehen und den von der Aufsichtsbehörde getroffenen		remedial and compensatory measures. It shall provide the supervisory
Maßnahmen, darunter auch Abhilfemaßnahmen und Ausgleichsmaßnahmen,		authority with written confirmation that the necessary actions have been
nachzukommen. Er bestätigt der Aufsichtsbehörde in schriftlicher Form, dass		taken.
die erforderlichen Maßnahmen ergriffen wurden.
MODUL DREI: Übermittlung von Auftragsverarbeitern an	MODULE THREE: Transfer processor to processor	MODULE THREE: Transfer processor to processor
Auftragsverarbeiter
a) [Wenn der Datenexporteur in einem EU-Mitgliedstaat niedergelassen ist:]		(a) [Where the data exporter is established in an EU Member State:]
Die Aufsichtsbehörde, die dafür verantwortlich ist, sicherzustellen, dass der		The supervisory authority with responsibility for ensuring compliance by

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 40 von 75

[Seite 41]

Datenexporteur bei Datenübermittlungen die Verordnung (EU) 2016/679		the data exporter with Regulation (EU) 2016/679 as regards the data
einhält, fungiert als zuständige Aufsichtsbehörde (entsprechend der Angabe		transfer, as indicated in Annex I.C, shall act as competent supervisory
in Anhang I.C).		authority.
[Wenn der Datenexporteur nicht in einem EU-Mitgliedstaat niedergelassen ist,		[Where the data exporter is not established in an EU Member State, but
aber nach Artikel 3 Absatz 2 der Verordnung (EU) 2016/679 in den		falls within the territorial scope of application of Regulation (EU)
räumlichen Anwendungsbereich dieser Verordnung fällt und einen Vertreter		2016/679 in accordance with its Article 3(2) and has appointed a
gemäß Artikel 27 Absatz 1 der Verordnung (EU) 2016/679 benannt hat:] Die		representative pursuant to Article 27(1) of Regulation (EU) 2016/679:]
Aufsichtsbehörde des Mitgliedstaats, in dem der Vertreter nach Artikel 27		The supervisory authority of the Member State in which the
Absatz 1 der Verordnung (EU) 2016/679 niedergelassen ist, fungiert als		representative within the meaning of Article 27(1) of Regulation (EU)
zuständige Aufsichtsbehörde (entsprechend der Angabe in Anhang I.C).		2016/679 is established, as indicated in Annex I.C, shall act as
		competent supervisory authority.
[Wenn der Datenexporteur nicht in einem EU-Mitgliedstaat niedergelassen ist,
aber nach Artikel 3 Absatz 2 der Verordnung (EU) 2016/679 in den		[Where the data exporter is not established in an EU Member State, but
räumlichen Anwendungsbereich dieser Verordnung fällt, ohne jedoch einen		falls within the territorial scope of application of Regulation (EU)
Vertreter gemäß Artikel 27 Absatz 2 der Verordnung (EU) 2016/679		2016/679 in accordance with its Article 3(2) without however having to
benennen zu müssen:] Die Aufsichtsbehörde eines der Mitgliedstaaten, in		appoint a representative pursuant to Article 27(2) of Regulation (EU)
denen die betroffenen Personen niedergelassen sind, deren		2016/679:] The supervisory authority of one of the Member States in
personenbezogene Daten gemäß diesen Klauseln im Zusammenhang mit		which the data subjects whose personal data is transferred under these
den ihnen angebotenen Waren oder Dienstleistungen übermittelt werden oder		Clauses in relation to the offering of goods or services to them, or whose
deren Verhalten beobachtet wird, fungiert als zuständige Aufsichtsbehörde		behaviour is monitored, are located, as indicated in Annex I.C, shall act
(entsprechend der Angabe in Anhang I.C).		as competent supervisory authority.
b) Der Datenimporteur erklärt sich damit einverstanden, sich der	(b) The data importer agrees to submit itself to the jurisdiction of and cooperate with the competent supervisory authority in any procedures aimed at ensuring compliance with these Clauses. In particular, the data importer agrees to respond to enquiries, submit to audits and comply with the measures adopted by the supervisory authority, including remedial and compensatory measures. It shall provide the supervisory authority with written confirmation that the necessary actions have been taken.	(b) The data importer agrees to submit itself to the jurisdiction of and
Zuständigkeit der zuständigen Aufsichtsbehörde zu unterwerfen und bei allen		cooperate with the competent supervisory authority in any procedures
Verfahren, mit denen die Einhaltung dieser Klauseln sichergestellt werden		aimed at ensuring compliance with these Clauses. In particular, the data
soll, mit ihr zusammenzuarbeiten. Insbesondere erklärt sich der		importer agrees to respond to enquiries, submit to audits and comply
Datenimporteur damit einverstanden, Anfragen zu beantworten, sich		with the measures adopted by the supervisory authority, including
Prüfungen zu unterziehen und den von der Aufsichtsbehörde getroffenen		remedial and compensatory measures. It shall provide the supervisory
Maßnahmen, darunter auch Abhilfemaßnahmen und Ausgleichsmaßnahmen,		authority with written confirmation that the necessary actions have been
nachzukommen. Er bestätigt der Aufsichtsbehörde in schriftlicher Form, dass		taken.
die erforderlichen Maßnahmen ergriffen wurden.
ABSCHNITT III — LOKALE RECHTSVORSCHRIFTEN UND PFLICHTEN		SECTION III – LOCAL LAWS AND OBLIGATIONS IN CASE OF
IM FALLE DES ZUGANGS VON BEHÖRDEN ZU DEN DATEN		ACCESS BY PUBLIC AUTHORITIES
Klausel 14		Clause 14

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 41 von 75

[Seite 42]

Lokale Rechtsvorschriften und Gepflogenheiten, die sich auf die	Local laws and practices affecting compliance with the Clauses	Local laws and practices affecting compliance with the Clauses
Einhaltung der Klauseln auswirken
MODUL EINS: Übermittlung von Verantwortlichen an Verantwortliche		MODULE ONE: Transfer controller to controller
a) Die Parteien sichern zu, keinen Grund zu der Annahme zu haben, dass die	(a) The Parties warrant that they have no reason to believe that the laws and practices in the third country of destination applicable to the processing of the personal data by the data importer, including any requirements to disclose personal data or measures authorising access by public authorities, prevent the data importer from fulfilling its obligations under these Clauses. This is based on the understanding that laws and practices that respect the essence of the fundamental rights and freedoms and do not exceed what is necessary and proportionate in a democratic society to safeguard one of the objectives listed in Article 23(1) of Regulation (EU) 2016/679, are not in contradiction with these Clauses.	(a) The Parties warrant that they have no reason to believe that the laws
für die Verarbeitung personenbezogener Daten durch den Datenimporteur		and practices in the third country of destination applicable to the
geltenden Rechtsvorschriften und Gepflogenheiten im Bestimmungsdrittland,		processing of the personal data by the data importer, including any
einschließlich Anforderungen zur Offenlegung personenbezogener Daten		requirements to disclose personal data or measures authorising access
oder Maßnahmen, die öffentlichen Behörden den Zugang zu diesen Daten		by public authorities, prevent the data importer from fulfilling its
gestatten, den Datenimporteur an der Erfüllung seiner Pflichten gemäß		obligations under these Clauses. This is based on the understanding
diesen Klauseln hindern. Dies basiert auf dem Verständnis, dass		that laws and practices that respect the essence of the fundamental
Rechtsvorschriften und Gepflogenheiten, die den Wesensgehalt der		rights and freedoms and do not exceed what is necessary and
Grundrechte und Grundfreiheiten achten und nicht über Maßnahmen		proportionate in a democratic society to safeguard one of the objectives
hinausgehen, die in einer demokratischen Gesellschaft notwendig und		listed in Article 23(1) of Regulation (EU) 2016/679, are not in
verhältnismäßig sind, um eines der in Artikel 23 Absatz 1 der Verordnung		contradiction with these Clauses.
(EU) 2016/679 aufgeführten Ziele sicherzustellen, nicht im Widerspruch zu
diesen Klauseln stehen.
b) Die Parteien erklären, dass sie hinsichtlich der Zusicherung in Buchstabe a		(b) The Parties declare that in providing the warranty in paragraph (a),
insbesondere die folgenden Aspekte gebührend berücksichtigt haben:		they have taken due account in particular of the following elements:
i) die besonderen Umstände der Übermittlung, einschließlich der Länge der		(i) the specific circumstances of the transfer, including the length of the
Verarbeitungskette, der Anzahl der beteiligten Akteure und der verwendeten		processing chain, the number of actors involved and the transmission
Übertragungskanäle, beabsichtigte Datenweiterleitungen, die Art des		channels used; intended onward transfers; the type of recipient; the
Empfängers, den Zweck der Verarbeitung, die Kategorien und das Format der		purpose of processing; the categories and format of the transferred
übermittelten personenbezogenen Daten, den Wirtschaftszweig, in dem die		personal data; the economic sector in which the transfer occurs; the
Übertragung erfolgt, den Speicherort der übermittelten Daten,		storage location of the data transferred;
ii) die angesichts der besonderen Umstände der Übermittlung relevanten		(ii) the laws and practices of the third country of destination– including
Rechtsvorschriften und Gepflogenheiten des Bestimmungsdrittlandes		those requiring the disclosure of data to public authorities or authorising
(einschließlich solcher, die die Offenlegung von Daten gegenüber Behörden		access by such authorities – relevant in light of the specific
vorschreiben oder den Zugang von Behörden zu diesen Daten gestatten)		circumstances of the transfer, and the applicable limitations and
sowie die geltenden Beschränkungen und Garantien,11		safeguards (11);

11 Zur Ermittlung der Auswirkungen derartiger Rechtsvorschriften und Gepflogenheiten auf die Einhaltung dieser Klauseln können in die Gesamtbeurteilung verschiedene Elemente einfließen. Diese Elemente können einschlägige und dokumentierte praktische Erfahrungen im Hinblick darauf umfassen, ob es bereits früher Ersuchen um Offenlegung seitens Behörden gab, die einen hinreichend repräsentativen Zeitrahmen abdecken, oder ob es solche Ersuchen nicht gab. Dies betrifft insbesondere interne Aufzeichnungen oder sonstige Belege, die fortlaufend mit gebührender Sorgfalt erstellt und von leitender Ebene bestätigt wurden, sofern diese Informationen rechtmäßig an Dritte weitergegeben werden können. Sofern anhand dieser praktischen Erfahrungen der Schluss gezogen wird, dass dem Datenimporteur die Einhaltung dieser Klauseln nicht unmöglich ist, muss dies durch weitere relevante objektive Elemente untermauert werden; den Parteien obliegt die sorgfältige Prüfung, ob alle diese Elemente ausreichend zuverlässig und repräsentativ sind, um die getroffene

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 42 von 75

[Seite 43]

iii) alle relevanten vertraglichen, technischen oder organisatorischen	(iii) any relevant contractual, technical or organisational safeguards put in place to supplement the safeguards under these Clauses, including measures applied during transmission and to the processing of the personal data in the country of destination.	(iii) any relevant contractual, technical or organisational safeguards put
Garantien, die zur Ergänzung der Garantien gemäß diesen Klauseln		in place to supplement the safeguards under these Clauses, including
eingerichtet wurden, einschließlich Maßnahmen, die während der		measures applied during transmission and to the processing of the
Übermittlung und bei der Verarbeitung personenbezogener Daten im		personal data in the country of destination.
Bestimmungsland angewandt werden.
c) Der Datenimporteur versichert, dass er sich im Rahmen der Beurteilung		(c) The data importer warrants that, in carrying out the assessment
nach Buchstabe b nach besten Kräften bemüht hat, dem Datenexporteur		under paragraph (b), it has made its best efforts to provide the data
sachdienliche Informationen zur Verfügung zu stellen, und erklärt sich damit		exporter with relevant information and agrees that it will continue to
einverstanden, dass er mit dem Datenexporteur weiterhin zusammenarbeiten		cooperate with the data exporter in ensuring compliance with these
wird, um die Einhaltung dieser Klauseln zu gewährleisten.		Clauses.
d) Die Parteien erklären sich damit einverstanden, die Beurteilung nach	(d) The Parties agree to document the assessment under paragraph (b) and make it available to the competent supervisory authority on request.	(d) The Parties agree to document the assessment under paragraph (b)
Buchstabe b zu dokumentieren und sie der zuständigen Aufsichtsbehörde auf		and make it available to the competent supervisory authority on request.
Anfrage zur Verfügung zu stellen.
e) Der Datenimporteur erklärt sich damit einverstanden, während der Laufzeit	(e) The data importer agrees to notify the data exporter promptly if, after having agreed to these Clauses and for the duration of the contract, it has reason to believe that it is or has become subject to laws or practices not in line with the requirements under paragraph (a), including following a change in the laws of the third country or a measure (such as a disclosure request) indicating an application of such laws in practice that is not in line with the requirements in paragraph (a).	(e) The data importer agrees to notify the data exporter promptly if, after
des Vertrags den Datenexporteur unverzüglich zu benachrichtigen, wenn er		having agreed to these Clauses and for the duration of the contract, it
nach Zustimmung zu diesen Klauseln Grund zu der Annahme hat, dass für		has reason to believe that it is or has become subject to laws or
ihn Rechtsvorschriften oder Gepflogenheiten gelten, die nicht mit den		practices not in line with the requirements under paragraph (a),
Anforderungen in Buchstabe a im Einklang stehen; hierunter fällt auch eine		including following a change in the laws of the third country or a measure
Änderung der Rechtsvorschriften des Drittlandes oder eine Maßnahme (z. B.		(such as a disclosure request) indicating an application of such laws in
ein Offenlegungsersuchen), die sich auf eine nicht mit den Anforderungen in		practice that is not in line with the requirements in paragraph (a).
Buchstabe a im Einklang stehende Anwendung dieser Rechtsvorschriften in
der Praxis bezieht.
f) Nach einer Benachrichtigung gemäß Buchstabe e oder wenn der		(f) Following a notification pursuant to paragraph (e), or if the data
Datenexporteur anderweitig Grund zu der Annahme hat, dass der		exporter otherwise has reason to believe that the data importer can no
Datenimporteur seinen Pflichten gemäß diesen Klauseln nicht mehr		longer fulfil its obligations under these Clauses, the data exporter shall
nachkommen kann, ermittelt der Datenexporteur unverzüglich geeignete		promptly identify appropriate measures (e.g. technical or organisational

Schlussfolgerung zu bekräftigen. Insbesondere müssen die Parteien berücksichtigen, ob ihre praktische Erfahrung durch öffentlich verfügbare oder anderweitig zugängliche zuverlässige Informationen über das Vorhandensein oder Nicht-Vorhandensein von Ersuchen innerhalb desselben Wirtschaftszweigs und/oder über die Anwendung der Rechtsvorschriften in der Praxis, wie Rechtsprechung und Berichte unabhängiger Aufsichtsgremien, erhärtet und nicht widerlegt wird. / As regards the impact of such laws and practices on compliance with these Clauses, different elements may be considered as part of an overall assessment. Such elements may include relevant and documented practical experience with prior instances of requests for disclosure from public authorities, or the absence of such requests, covering a sufficiently representative time- frame. This refers in particular to internal records or other documentation, drawn up on a continuous basis in accordance with due diligence and certified at senior management level, provided that this information can be lawfully shared with third parties. Where this practical experience is relied upon to conclude that the data importer will not be prevented from complying with these Clauses, it needs to be supported by other relevant, objective elements, and it is for the Parties to consider carefully whether these elements together carry sufficient weight, in terms of their reliability and representativeness, to support this conclusion. In particular, the Parties have to take into account whether their practical experience is corroborated and not contradicted by publicly available or otherwise accessible, reliable information on the existence or absence of requests within the same sector and/or the application of the law in practice, such as case law and reports by independent oversight bodies.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 43 von 75

[Seite 44]

Maßnahmen (z. B. technische oder organisatorische Maßnahmen zur	measures to ensure security and confidentiality) to be adopted by the data exporter and/or data importer to address the situation. The data exporter shall suspend the data transfer if it considers that no appropriate safeguards for such transfer can be ensured, or if instructed by the competent supervisory authority to do so. In this case, the data exporter shall be entitled to terminate the contract, insofar as it concerns the processing of personal data under these Clauses. If the contract involves more than two Parties, the data exporter may exercise this right to termination only with respect to the relevant Party, unless the Parties have agreed otherwise. Where the contract is terminated pursuant to this Clause, Clause 16(d) and (e) shall apply.	measures to ensure security and confidentiality) to be adopted by the
Gewährleistung der Sicherheit und Vertraulichkeit), die der Datenexporteur		data exporter and/or data importer to address the situation. The data
und/oder der Datenimporteur ergreifen müssen, um Abhilfe zu schaffen. Der		exporter shall suspend the data transfer if it considers that no
Datenexporteur setzt die Datenübermittlung aus, wenn er der Auffassung ist,		appropriate safeguards for such transfer can be ensured, or if instructed
dass keine geeigneten Garantien für eine derartige Übermittlung		by the competent supervisory authority to do so. In this case, the data
gewährleistet werden können, oder wenn er von der dafür zuständigen		exporter shall be entitled to terminate the contract, insofar as it concerns
Aufsichtsbehörde dazu angewiesen wird. In diesem Fall ist der		the processing of personal data under these Clauses. If the contract
Datenexporteur berechtigt, den Vertrag zu kündigen, soweit es um die		involves more than two Parties, the data exporter may exercise this right
Verarbeitung personenbezogener Daten gemäß diesen Klauseln geht. Sind		to termination only with respect to the relevant Party, unless the Parties
mehr als zwei Parteien an dem Vertrag beteiligt, so kann der Datenexporteur		have agreed otherwise. Where the contract is terminated pursuant to
von diesem Kündigungsrecht nur gegenüber der verantwortlichen Partei		this Clause, Clause 16(d) and (e) shall apply.
Gebrauch machen, sofern die Parteien nichts anderes vereinbart haben. Wird
der Vertrag gemäß dieser Klausel gekündigt, finden Klausel 16 Buchstaben d
und e Anwendung.
MODUL ZWEI: Übermittlung von Verantwortlichen an	MODULE TWO: Transfer controller to processor	MODULE TWO: Transfer controller to processor
Auftragsverarbeiter
a) Die Parteien sichern zu, keinen Grund zu der Annahme zu haben, dass die	(a) The Parties warrant that they have no reason to believe that the laws and practices in the third country of destination applicable to the processing of the personal data by the data importer, including any requirements to disclose personal data or measures authorising access by public authorities, prevent the data importer from fulfilling its obligations under these Clauses. This is based on the understanding that laws and practices that respect the essence of the fundamental rights and freedoms and do not exceed what is necessary and proportionate in a democratic society to safeguard one of the objectives listed in Article 23(1) of Regulation (EU) 2016/679, are not in contradiction with these Clauses.	(a) The Parties warrant that they have no reason to believe that the laws
für die Verarbeitung personenbezogener Daten durch den Datenimporteur		and practices in the third country of destination applicable to the
geltenden Rechtsvorschriften und Gepflogenheiten im Bestimmungsdrittland,		processing of the personal data by the data importer, including any
einschließlich Anforderungen zur Offenlegung personenbezogener Daten		requirements to disclose personal data or measures authorising access
oder Maßnahmen, die öffentlichen Behörden den Zugang zu diesen Daten		by public authorities, prevent the data importer from fulfilling its
gestatten, den Datenimporteur an der Erfüllung seiner Pflichten gemäß		obligations under these Clauses. This is based on the understanding
diesen Klauseln hindern. Dies basiert auf dem Verständnis, dass		that laws and practices that respect the essence of the fundamental
Rechtsvorschriften und Gepflogenheiten, die den Wesensgehalt der		rights and freedoms and do not exceed what is necessary and
Grundrechte und Grundfreiheiten achten und nicht über Maßnahmen		proportionate in a democratic society to safeguard one of the objectives
hinausgehen, die in einer demokratischen Gesellschaft notwendig und		listed in Article 23(1) of Regulation (EU) 2016/679, are not in
verhältnismäßig sind, um eines der in Artikel 23 Absatz 1 der Verordnung		contradiction with these Clauses.
(EU) 2016/679 aufgeführten Ziele sicherzustellen, nicht im Widerspruch zu
diesen Klauseln stehen.
b) Die Parteien erklären, dass sie hinsichtlich der Zusicherung in Buchstabe a		(b) The Parties declare that in providing the warranty in paragraph (a),
insbesondere die folgenden Aspekte gebührend berücksichtigt haben:		they have taken due account in particular of the following elements:
i) die besonderen Umstände der Übermittlung, einschließlich der Länge der		(i) the specific circumstances of the transfer, including the length of the
Verarbeitungskette, der Anzahl der beteiligten Akteure und der verwendeten		processing chain, the number of actors involved and the transmission
Übertragungskanäle, beabsichtigte Datenweiterleitungen, die Art des		channels used; intended onward transfers; the type of recipient; the
Empfängers, den Zweck der Verarbeitung, die Kategorien und das Format der		purpose of processing; the categories and format of the transferred

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 44 von 75

[Seite 45]

übermittelten personenbezogenen Daten, den Wirtschaftszweig, in dem die	personal data; the economic sector in which the transfer occurs; the storage location of the data transferred; (ii) the laws and practices of the third country of destination– including those requiring the disclosure of data to public authorities or authorising access by such authorities – relevant in light of the specific circumstances of the transfer, and the applicable limitations and safeguards (11); (iii) any relevant contractual, technical or organisational safeguards put in place to supplement the safeguards under these Clauses, including measures applied during transmission and to the processing of the personal data in the country of destination.	personal data; the economic sector in which the transfer occurs; the
Übertragung erfolgt, den Speicherort der übermittelten Daten,		storage location of the data transferred;
ii) die angesichts der besonderen Umstände der Übermittlung relevanten		(ii) the laws and practices of the third country of destination– including
Rechtsvorschriften und Gepflogenheiten des Bestimmungsdrittlandes		those requiring the disclosure of data to public authorities or authorising
(einschließlich solcher, die die Offenlegung von Daten gegenüber Behörden		access by such authorities – relevant in light of the specific
vorschreiben oder den Zugang von Behörden zu diesen Daten gestatten)		circumstances of the transfer, and the applicable limitations and
sowie die geltenden Beschränkungen und Garantien,12		safeguards (11);
iii) alle relevanten vertraglichen, technischen oder organisatorischen		(iii) any relevant contractual, technical or organisational safeguards put
Garantien, die zur Ergänzung der Garantien gemäß diesen Klauseln		in place to supplement the safeguards under these Clauses, including
eingerichtet wurden, einschließlich Maßnahmen, die während der		measures applied during transmission and to the processing of the
Übermittlung und bei der Verarbeitung personenbezogener Daten im		personal data in the country of destination.
Bestimmungsland angewandt werden.
c) Der Datenimporteur versichert, dass er sich im Rahmen der Beurteilung		(c) The data importer warrants that, in carrying out the assessment
nach Buchstabe b nach besten Kräften bemüht hat, dem Datenexporteur		under paragraph (b), it has made its best efforts to provide the data
sachdienliche Informationen zur Verfügung zu stellen, und erklärt sich damit		exporter with relevant information and agrees that it will continue to
einverstanden, dass er mit dem Datenexporteur weiterhin zusammenarbeiten		cooperate with the data exporter in ensuring compliance with these
wird, um die Einhaltung dieser Klauseln zu gewährleisten.		Clauses.
d) Die Parteien erklären sich damit einverstanden, die Beurteilung nach	(d) The Parties agree to document the assessment under paragraph (b) and make it available to the competent supervisory authority on request.	(d) The Parties agree to document the assessment under paragraph (b)
Buchstabe b zu dokumentieren und sie der zuständigen Aufsichtsbehörde auf		and make it available to the competent supervisory authority on request.
Anfrage zur Verfügung zu stellen.
e) Der Datenimporteur erklärt sich damit einverstanden, während der Laufzeit		(e) The data importer agrees to notify the data exporter promptly if, after
des Vertrags den Datenexporteur unverzüglich zu benachrichtigen, wenn er		having agreed to these Clauses and for the duration of the contract, it

12 Zur Ermittlung der Auswirkungen derartiger Rechtsvorschriften und Gepflogenheiten auf die Einhaltung dieser Klauseln können in die Gesamtbeurteilung verschiedene Elemente einfließen. Diese Elemente können einschlägige und dokumentierte praktische Erfahrungen im Hinblick darauf umfassen, ob es bereits früher Ersuchen um Offenlegung seitens Behörden gab, die einen hinreichend repräsentativen Zeitrahmen abdecken, oder ob es solche Ersuchen nicht gab. Dies betrifft insbesondere interne Aufzeichnungen oder sonstige Belege, die fortlaufend mit gebührender Sorgfalt erstellt und von leitender Ebene bestätigt wurden, sofern diese Informationen rechtmäßig an Dritte weitergegeben werden können. Sofern anhand dieser praktischen Erfahrungen der Schluss gezogen wird, dass dem Datenimporteur die Einhaltung dieser Klauseln nicht unmöglich ist, muss dies durch weitere relevante objektive Elemente untermauert werden; den Parteien obliegt die sorgfältige Prüfung, ob alle diese Elemente ausreichend zuverlässig und repräsentativ sind, um die getroffene Schlussfolgerung zu bekräftigen. Insbesondere müssen die Parteien berücksichtigen, ob ihre praktische Erfahrung durch öffentlich verfügbare oder anderweitig zugängliche zuverlässige Informationen über das Vorhandensein oder Nicht-Vorhandensein von Ersuchen innerhalb desselben Wirtschaftszweigs und/oder über die Anwendung der Rechtsvorschriften in der Praxis, wie Rechtsprechung und Berichte unabhängiger Aufsichtsgremien, erhärtet und nicht widerlegt wird. / As regards the impact of such laws and practices on compliance with these Clauses, different elements may be considered as part of an overall assessment. Such elements may include relevant and documented practical experience with prior instances of requests for disclosure from public authorities, or the absence of such requests, covering a sufficiently representative time- frame. This refers in particular to internal records or other documentation, drawn up on a continuous basis in accordance with due diligence and certified at senior management level, provided that this information can be lawfully shared with third parties. Where this practical experience is relied upon to conclude that the data importer will not be prevented from complying with these Clauses, it needs to be supported by other relevant, objective elements, and it is for the Parties to consider carefully whether these elements together carry sufficient weight, in terms of their reliability and representativeness, to support this conclusion. In particular, the Parties have to take into account whether their practical experience is corroborated and not contradicted by publicly available or otherwise accessible, reliable information on the existence or absence of requests within the same sector and/or the application of the law in practice, such as case law and reports by independent oversight bodies.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 45 von 75

[Seite 46]

nach Zustimmung zu diesen Klauseln Grund zu der Annahme hat, dass für	has reason to believe that it is or has become subject to laws or practices not in line with the requirements under paragraph (a), including following a change in the laws of the third country or a measure (such as a disclosure request) indicating an application of such laws in practice that is not in line with the requirements in paragraph (a).	has reason to believe that it is or has become subject to laws or
ihn Rechtsvorschriften oder Gepflogenheiten gelten, die nicht mit den		practices not in line with the requirements under paragraph (a),
Anforderungen in Buchstabe a im Einklang stehen; hierunter fällt auch eine		including following a change in the laws of the third country or a measure
Änderung der Rechtsvorschriften des Drittlandes oder eine Maßnahme (z. B.		(such as a disclosure request) indicating an application of such laws in
ein Offenlegungsersuchen), die sich auf eine nicht mit den Anforderungen in		practice that is not in line with the requirements in paragraph (a).
Buchstabe a im Einklang stehende Anwendung dieser Rechtsvorschriften in
der Praxis bezieht.
f) Nach einer Benachrichtigung gemäß Buchstabe e oder wenn der	(f) Following a notification pursuant to paragraph (e), or if the data exporter otherwise has reason to believe that the data importer can no longer fulfil its obligations under these Clauses, the data exporter shall promptly identify appropriate measures (e.g. technical or organisational measures to ensure security and confidentiality) to be adopted by the data exporter and/or data importer to address the situation. The data exporter shall suspend the data transfer if it considers that no appropriate safeguards for such transfer can be ensured, or if instructed by the competent supervisory authority to do so. In this case, the data exporter shall be entitled to terminate the contract, insofar as it concerns the processing of personal data under these Clauses. If the contract involves more than two Parties, the data exporter may exercise this right to termination only with respect to the relevant Party, unless the Parties have agreed otherwise. Where the contract is terminated pursuant to this Clause, Clause 16(d) and (e) shall apply.	(f) Following a notification pursuant to paragraph (e), or if the data
Datenexporteur anderweitig Grund zu der Annahme hat, dass der		exporter otherwise has reason to believe that the data importer can no
Datenimporteur seinen Pflichten gemäß diesen Klauseln nicht mehr		longer fulfil its obligations under these Clauses, the data exporter shall
nachkommen kann, ermittelt der Datenexporteur unverzüglich geeignete		promptly identify appropriate measures (e.g. technical or organisational
Maßnahmen (z. B. technische oder organisatorische Maßnahmen zur		measures to ensure security and confidentiality) to be adopted by the
Gewährleistung der Sicherheit und Vertraulichkeit), die der Datenexporteur		data exporter and/or data importer to address the situation. The data
und/oder der Datenimporteur ergreifen müssen, um Abhilfe zu schaffen. Der		exporter shall suspend the data transfer if it considers that no
Datenexporteur setzt die Datenübermittlung aus, wenn er der Auffassung ist,		appropriate safeguards for such transfer can be ensured, or if instructed
dass keine geeigneten Garantien für eine derartige Übermittlung		by the competent supervisory authority to do so. In this case, the data
gewährleistet werden können, oder wenn er von der dafür zuständigen		exporter shall be entitled to terminate the contract, insofar as it concerns
Aufsichtsbehörde dazu angewiesen wird. In diesem Fall ist der		the processing of personal data under these Clauses. If the contract
Datenexporteur berechtigt, den Vertrag zu kündigen, soweit es um die		involves more than two Parties, the data exporter may exercise this right
Verarbeitung personenbezogener Daten gemäß diesen Klauseln geht. Sind		to termination only with respect to the relevant Party, unless the Parties
mehr als zwei Parteien an dem Vertrag beteiligt, so kann der Datenexporteur		have agreed otherwise. Where the contract is terminated pursuant to
von diesem Kündigungsrecht nur gegenüber der verantwortlichen Partei		this Clause, Clause 16(d) and (e) shall apply.
Gebrauch machen, sofern die Parteien nichts anderes vereinbart haben. Wird
der Vertrag gemäß dieser Klausel gekündigt, finden Klausel 16 Buchstaben d
und e Anwendung.
MODUL DREI: Übermittlung von Auftragsverarbeitern an	MODULE THREE: Transfer processor to processor	MODULE THREE: Transfer processor to processor
Auftragsverarbeiter
a) Die Parteien sichern zu, keinen Grund zu der Annahme zu haben, dass die		(a) The Parties warrant that they have no reason to believe that the laws
für die Verarbeitung personenbezogener Daten durch den Datenimporteur		and practices in the third country of destination applicable to the
geltenden Rechtsvorschriften und Gepflogenheiten im Bestimmungsdrittland,		processing of the personal data by the data importer, including any
einschließlich Anforderungen zur Offenlegung personenbezogener Daten		requirements to disclose personal data or measures authorising access
oder Maßnahmen, die öffentlichen Behörden den Zugang zu diesen Daten		by public authorities, prevent the data importer from fulfilling its
gestatten, den Datenimporteur an der Erfüllung seiner Pflichten gemäß		obligations under these Clauses. This is based on the understanding
diesen Klauseln hindern. Dies basiert auf dem Verständnis, dass		that laws and practices that respect the essence of the fundamental
Rechtsvorschriften und Gepflogenheiten, die den Wesensgehalt der		rights and freedoms and do not exceed what is necessary and
Grundrechte und Grundfreiheiten achten und nicht über Maßnahmen		proportionate in a democratic society to safeguard one of the objectives

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 46 von 75

[Seite 47]

hinausgehen, die in einer demokratischen Gesellschaft notwendig und	listed in Article 23(1) of Regulation (EU) 2016/679, are not in contradiction with these Clauses.	listed in Article 23(1) of Regulation (EU) 2016/679, are not in
verhältnismäßig sind, um eines der in Artikel 23 Absatz 1 der Verordnung		contradiction with these Clauses.
(EU) 2016/679 aufgeführten Ziele sicherzustellen, nicht im Widerspruch zu
diesen Klauseln stehen.
b) Die Parteien erklären, dass sie hinsichtlich der Zusicherung in Buchstabe a	(b) The Parties declare that in providing the warranty in paragraph (a), they have taken due account in particular of the following elements: (i) the specific circumstances of the transfer, including the length of the processing chain, the number of actors involved and the transmission channels used; intended onward transfers; the type of recipient; the purpose of processing; the categories and format of the transferred personal data; the economic sector in which the transfer occurs; the storage location of the data transferred; (ii) the laws and practices of the third country of destination– including those requiring the disclosure of data to public authorities or authorising access by such authorities – relevant in light of the specific circumstances of the transfer, and the applicable limitations and safeguards (11); (iii) any relevant contractual, technical or organisational safeguards put in place to supplement the safeguards under these Clauses, including measures applied during transmission and to the processing of the personal data in the country of destination.	(b) The Parties declare that in providing the warranty in paragraph (a),
insbesondere die folgenden Aspekte gebührend berücksichtigt haben:		they have taken due account in particular of the following elements:
i) die besonderen Umstände der Übermittlung, einschließlich der Länge der		(i) the specific circumstances of the transfer, including the length of the
Verarbeitungskette, der Anzahl der beteiligten Akteure und der verwendeten		processing chain, the number of actors involved and the transmission
Übertragungskanäle, beabsichtigte Datenweiterleitungen, die Art des		channels used; intended onward transfers; the type of recipient; the
Empfängers, den Zweck der Verarbeitung, die Kategorien und das Format der		purpose of processing; the categories and format of the transferred
übermittelten personenbezogenen Daten, den Wirtschaftszweig, in dem die		personal data; the economic sector in which the transfer occurs; the
Übertragung erfolgt, den Speicherort der übermittelten Daten,		storage location of the data transferred;
ii) die angesichts der besonderen Umstände der Übermittlung relevanten		(ii) the laws and practices of the third country of destination– including
Rechtsvorschriften und Gepflogenheiten des Bestimmungsdrittlandes		those requiring the disclosure of data to public authorities or authorising
(einschließlich solcher, die die Offenlegung von Daten gegenüber Behörden		access by such authorities – relevant in light of the specific
vorschreiben oder den Zugang von Behörden zu diesen Daten gestatten)		circumstances of the transfer, and the applicable limitations and
sowie die geltenden Beschränkungen und Garantien,13		safeguards (11);
iii) alle relevanten vertraglichen, technischen oder organisatorischen		(iii) any relevant contractual, technical or organisational safeguards put
Garantien, die zur Ergänzung der Garantien gemäß diesen Klauseln		in place to supplement the safeguards under these Clauses, including
eingerichtet wurden, einschließlich Maßnahmen, die während der		measures applied during transmission and to the processing of the
Übermittlung und bei der Verarbeitung personenbezogener Daten im		personal data in the country of destination.
Bestimmungsland angewandt werden.

13 Zur Ermittlung der Auswirkungen derartiger Rechtsvorschriften und Gepflogenheiten auf die Einhaltung dieser Klauseln können in die Gesamtbeurteilung verschiedene Elemente einfließen. Diese Elemente können einschlägige und dokumentierte praktische Erfahrungen im Hinblick darauf umfassen, ob es bereits früher Ersuchen um Offenlegung seitens Behörden gab, die einen hinreichend repräsentativen Zeitrahmen abdecken, oder ob es solche Ersuchen nicht gab. Dies betrifft insbesondere interne Aufzeichnungen oder sonstige Belege, die fortlaufend mit gebührender Sorgfalt erstellt und von leitender Ebene bestätigt wurden, sofern diese Informationen rechtmäßig an Dritte weitergegeben werden können. Sofern anhand dieser praktischen Erfahrungen der Schluss gezogen wird, dass dem Datenimporteur die Einhaltung dieser Klauseln nicht unmöglich ist, muss dies durch weitere relevante objektive Elemente untermauert werden; den Parteien obliegt die sorgfältige Prüfung, ob alle diese Elemente ausreichend zuverlässig und repräsentativ sind, um die getroffene Schlussfolgerung zu bekräftigen. Insbesondere müssen die Parteien berücksichtigen, ob ihre praktische Erfahrung durch öffentlich verfügbare oder anderweitig zugängliche zuverlässige Informationen über das Vorhandensein oder Nicht-Vorhandensein von Ersuchen innerhalb desselben Wirtschaftszweigs und/oder über die Anwendung der Rechtsvorschriften in der Praxis, wie Rechtsprechung und Berichte unabhängiger Aufsichtsgremien, erhärtet und nicht widerlegt wird. / As regards the impact of such laws and practices on compliance with these Clauses, different elements may be considered as part of an overall assessment. Such elements may include relevant and documented practical experience with prior instances of requests for disclosure from public authorities, or the absence of such requests, covering a sufficiently representative time- frame. This refers in particular to internal records or other documentation, drawn up on a continuous basis in accordance with due diligence and certified at senior management level, provided that this information can be lawfully shared with third parties. Where this practical experience is relied upon to conclude that the data importer will not be prevented from complying with these Clauses, it needs to be supported by other relevant, objective elements, and it is for the Parties to consider carefully whether these elements together carry sufficient weight, in terms of their reliability and representativeness, to support this conclusion. In particular, the Parties have to take into account whether their practical experience is corroborated and not contradicted by publicly available or otherwise accessible, reliable information on the existence or absence of requests within the same sector and/or the application of the law in practice, such as case law and reports by independent oversight bodies.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 47 von 75

[Seite 48]

c) Der Datenimporteur versichert, dass er sich im Rahmen der Beurteilung		(c) The data importer warrants that, in carrying out the assessment
nach Buchstabe b nach besten Kräften bemüht hat, dem Datenexporteur		under paragraph (b), it has made its best efforts to provide the data
sachdienliche Informationen zur Verfügung zu stellen, und erklärt sich damit		exporter with relevant information and agrees that it will continue to
einverstanden, dass er mit dem Datenexporteur weiterhin zusammenarbeiten		cooperate with the data exporter in ensuring compliance with these
wird, um die Einhaltung dieser Klauseln zu gewährleisten.		Clauses.
d) Die Parteien erklären sich damit einverstanden, die Beurteilung nach	(d) The Parties agree to document the assessment under paragraph (b) and make it available to the competent supervisory authority on request.	(d) The Parties agree to document the assessment under paragraph (b)
Buchstabe b zu dokumentieren und sie der zuständigen Aufsichtsbehörde auf		and make it available to the competent supervisory authority on request.
Anfrage zur Verfügung zu stellen.
e) Der Datenimporteur erklärt sich damit einverstanden, während der Laufzeit	(e) The data importer agrees to notify the data exporter promptly if, after having agreed to these Clauses and for the duration of the contract, it has reason to believe that it is or has become subject to laws or practices not in line with the requirements under paragraph (a), including following a change in the laws of the third country or a measure (such as a disclosure request) indicating an application of such laws in practice that is not in line with the requirements in paragraph (a). The data exporter shall forward the notification to the controller.	(e) The data importer agrees to notify the data exporter promptly if, after
des Vertrags den Datenexporteur unverzüglich zu benachrichtigen, wenn er		having agreed to these Clauses and for the duration of the contract, it
nach Zustimmung zu diesen Klauseln Grund zu der Annahme hat, dass für		has reason to believe that it is or has become subject to laws or
ihn Rechtsvorschriften oder Gepflogenheiten gelten, die nicht mit den		practices not in line with the requirements under paragraph (a),
Anforderungen in Buchstabe a im Einklang stehen; hierunter fällt auch eine		including following a change in the laws of the third country or a measure
Änderung der Rechtsvorschriften des Drittlandes oder eine Maßnahme (z. B.		(such as a disclosure request) indicating an application of such laws in
ein Offenlegungsersuchen), die sich auf eine nicht mit den Anforderungen in		practice that is not in line with the requirements in paragraph (a). The
Buchstabe a im Einklang stehende Anwendung dieser Rechtsvorschriften in		data exporter shall forward the notification to the controller.
der Praxis bezieht. Der Datenexporteur leitet die Benachrichtigung an den
Verantwortlichen weiter.
f) Nach einer Benachrichtigung gemäß Buchstabe e oder wenn der	(f) Following a notification pursuant to paragraph (e), or if the data exporter otherwise has reason to believe that the data importer can no longer fulfil its obligations under these Clauses, the data exporter shall promptly identify appropriate measures (e.g. technical or organisational measures to ensure security and confidentiality) to be adopted by the data exporter and/or data importer to address the situation, if appropriate in consultation with the controller. The data exporter shall suspend the data transfer if it considers that no appropriate safeguards for such transfer can be ensured, or if instructed by the controller or the competent supervisory authority to do so. In this case, the data exporter shall be entitled to terminate the contract, insofar as it concerns the processing of personal data under these Clauses. If the contract involves more than two Parties, the data exporter may exercise this right to termination only with respect to the relevant Party, unless the Parties have agreed otherwise. Where the contract is terminated pursuant to this Clause, Clause 16(d) and (e) shall apply.	(f) Following a notification pursuant to paragraph (e), or if the data
Datenexporteur anderweitig Grund zu der Annahme hat, dass der		exporter otherwise has reason to believe that the data importer can no
Datenimporteur seinen Pflichten gemäß diesen Klauseln nicht mehr		longer fulfil its obligations under these Clauses, the data exporter shall
nachkommen kann, ermittelt der Datenexporteur unverzüglich geeignete		promptly identify appropriate measures (e.g. technical or organisational
Maßnahmen (z. B. technische oder organisatorische Maßnahmen zur		measures to ensure security and confidentiality) to be adopted by the
Gewährleistung der Sicherheit und Vertraulichkeit), die der Datenexporteur		data exporter and/or data importer to address the situation, if
und/oder der Datenimporteur ergreifen müssen, um Abhilfe zu schaffen,		appropriate in consultation with the controller. The data exporter shall
gegebenenfalls in Absprache mit dem Verantwortlichen. Der Datenexporteur		suspend the data transfer if it considers that no appropriate safeguards
setzt die Datenübermittlung aus, wenn er der Auffassung ist, dass keine		for such transfer can be ensured, or if instructed by the controller or the
geeigneten Garantien für eine derartige Übermittlung gewährleistet werden		competent supervisory authority to do so. In this case, the data exporter
können, oder wenn er vom Verantwortlichen oder von der dafür zuständigen		shall be entitled to terminate the contract, insofar as it concerns the
Aufsichtsbehörde dazu angewiesen wird. In diesem Fall ist der		processing of personal data under these Clauses. If the contract
Datenexporteur berechtigt, den Vertrag zu kündigen, soweit es um die		involves more than two Parties, the data exporter may exercise this right
Verarbeitung personenbezogener Daten gemäß diesen Klauseln geht. Sind		to termination only with respect to the relevant Party, unless the Parties
mehr als zwei Parteien an dem Vertrag beteiligt, so kann der Datenexporteur		have agreed otherwise. Where the contract is terminated pursuant to
von diesem Kündigungsrecht nur gegenüber der verantwortlichen Partei		this Clause, Clause 16(d) and (e) shall apply.
Gebrauch machen, sofern die Parteien nichts anderes vereinbart haben. Wird

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 48 von 75

[Seite 49]

	der Vertrag gemäß dieser Klausel gekündigt, finden Klausel 16 Buchstaben d
	und e Anwendung.
	MODUL VIER: Übermittlung von Auftragsverarbeitern an	MODULE FOUR: Transfer processor to controller (where the EU processor combines the personal data received from the third country-controller with personal data collected by the processor in the EU)	MODULE FOUR: Transfer processor to controller (where the EU
	Verantwortliche (wenn der in der EU ansässige Auftragsverarbeiter die		processor combines the personal data received from the third
	von dem im Drittland ansässigen Verantwortlichen erhaltenen		country-controller with personal data collected by the processor in
	personenbezogenen Daten mit personenbezogenen Daten kombiniert,		the EU)
	die vom Auftragsverarbeiter in der EU erhoben wurden)
	a) Die Parteien sichern zu, keinen Grund zu der Annahme zu haben, dass die	(a) The Parties warrant that they have no reason to believe that the laws and practices in the third country of destination applicable to the processing of the personal data by the data importer, including any requirements to disclose personal data or measures authorising access by public authorities, prevent the data importer from fulfilling its obligations under these Clauses. This is based on the understanding that laws and practices that respect the essence of the fundamental rights and freedoms and do not exceed what is necessary and proportionate in a democratic society to safeguard one of the objectives listed in Article 23(1) of Regulation (EU) 2016/679, are not in contradiction with these Clauses.	(a) The Parties warrant that they have no reason to believe that the laws
	für die Verarbeitung personenbezogener Daten durch den Datenimporteur		and practices in the third country of destination applicable to the
	geltenden Rechtsvorschriften und Gepflogenheiten im Bestimmungsdrittland,		processing of the personal data by the data importer, including any
	einschließlich Anforderungen zur Offenlegung personenbezogener Daten		requirements to disclose personal data or measures authorising access
	oder Maßnahmen, die öffentlichen Behörden den Zugang zu diesen Daten		by public authorities, prevent the data importer from fulfilling its
	gestatten, den Datenimporteur an der Erfüllung seiner Pflichten gemäß		obligations under these Clauses. This is based on the understanding
	diesen Klauseln hindern. Dies basiert auf dem Verständnis, dass		that laws and practices that respect the essence of the fundamental
	Rechtsvorschriften und Gepflogenheiten, die den Wesensgehalt der		rights and freedoms and do not exceed what is necessary and
	Grundrechte und Grundfreiheiten achten und nicht über Maßnahmen		proportionate in a democratic society to safeguard one of the objectives
	hinausgehen, die in einer demokratischen Gesellschaft notwendig und		listed in Article 23(1) of Regulation (EU) 2016/679, are not in
	verhältnismäßig sind, um eines der in Artikel 23 Absatz 1 der Verordnung		contradiction with these Clauses.
	(EU) 2016/679 aufgeführten Ziele sicherzustellen, nicht im Widerspruch zu
	diesen Klauseln stehen.
b) Die Parteien erklären, dass sie hinsichtlich der Zusicherung in Buchstabe a insbesondere die folgenden Aspekte gebührend berücksichtigt haben: i) die besonderen Umstände der Übermittlung, einschließlich der Länge der Verarbeitungskette, der Anzahl der beteiligten Akteure und der verwendeten Übertragungskanäle, beabsichtigte Datenweiterleitungen, die Art des Empfängers, den Zweck der Verarbeitung, die Kategorien und das Format der übermittelten personenbezogenen Daten, den Wirtschaftszweig, in dem die Übertragung erfolgt, den Speicherort der übermittelten Daten, ii) die angesichts der besonderen Umstände der Übermittlung relevanten Rechtsvorschriften und Gepflogenheiten des Bestimmungsdrittlandes (einschließlich solcher, die die Offenlegung von Daten gegenüber Behörden	b) Die Parteien erklären, dass sie hinsichtlich der Zusicherung in Buchstabe a		(b) The Parties declare that in providing the warranty in paragraph (a),
	insbesondere die folgenden Aspekte gebührend berücksichtigt haben:		they have taken due account in particular of the following elements:
	i) die besonderen Umstände der Übermittlung, einschließlich der Länge der		(i) the specific circumstances of the transfer, including the length of the
	Verarbeitungskette, der Anzahl der beteiligten Akteure und der verwendeten		processing chain, the number of actors involved and the transmission
	Übertragungskanäle, beabsichtigte Datenweiterleitungen, die Art des		channels used; intended onward transfers; the type of recipient; the
	Empfängers, den Zweck der Verarbeitung, die Kategorien und das Format der		purpose of processing; the categories and format of the transferred
	übermittelten personenbezogenen Daten, den Wirtschaftszweig, in dem die		personal data; the economic sector in which the transfer occurs; the
	Übertragung erfolgt, den Speicherort der übermittelten Daten,		storage location of the data transferred;
	ii) die angesichts der besonderen Umstände der Übermittlung relevanten		(ii) the laws and practices of the third country of destination– including
	Rechtsvorschriften und Gepflogenheiten des Bestimmungsdrittlandes		those requiring the disclosure of data to public authorities or authorising
	(einschließlich solcher, die die Offenlegung von Daten gegenüber Behörden		access by such authorities – relevant in light of the specific
			circumstances of the transfer, and the applicable limitations and
			safeguards (11);

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 49 von 75

[Seite 50]

	vorschreiben oder den Zugang von Behörden zu diesen Daten gestatten)	(iii) any relevant contractual, technical or organisational safeguards put in place to supplement the safeguards under these Clauses, including measures applied during transmission and to the processing of the personal data in the country of destination.	(iii) any relevant contractual, technical or organisational safeguards put
	sowie die geltenden Beschränkungen und Garantien,14		in place to supplement the safeguards under these Clauses, including
			measures applied during transmission and to the processing of the
	iii) alle relevanten vertraglichen, technischen oder organisatorischen
			personal data in the country of destination.
	Garantien, die zur Ergänzung der Garantien gemäß diesen Klauseln
	eingerichtet wurden, einschließlich Maßnahmen, die während der
	Übermittlung und bei der Verarbeitung personenbezogener Daten im
	Bestimmungsland angewandt werden.
	c) Der Datenimporteur versichert, dass er sich im Rahmen der Beurteilung		(c) The data importer warrants that, in carrying out the assessment
	nach Buchstabe b nach besten Kräften bemüht hat, dem Datenexporteur		under paragraph (b), it has made its best efforts to provide the data
	sachdienliche Informationen zur Verfügung zu stellen, und erklärt sich damit		exporter with relevant information and agrees that it will continue to
	einverstanden, dass er mit dem Datenexporteur weiterhin zusammenarbeiten		cooperate with the data exporter in ensuring compliance with these
	wird, um die Einhaltung dieser Klauseln zu gewährleisten.		Clauses.
	d) Die Parteien erklären sich damit einverstanden, die Beurteilung nach	(d) The Parties agree to document the assessment under paragraph (b) and make it available to the competent supervisory authority on request.	(d) The Parties agree to document the assessment under paragraph (b)
	Buchstabe b zu dokumentieren und sie der zuständigen Aufsichtsbehörde auf		and make it available to the competent supervisory authority on request.
	Anfrage zur Verfügung zu stellen.
e) Der Datenimporteur erklärt sich damit einverstanden, während der Laufzeit des Vertrags den Datenexporteur unverzüglich zu benachrichtigen, wenn er nach Zustimmung zu diesen Klauseln Grund zu der Annahme hat, dass für ihn Rechtsvorschriften oder Gepflogenheiten gelten, die nicht mit den Anforderungen in Buchstabe a im Einklang stehen; hierunter fällt auch eine Änderung der Rechtsvorschriften des Drittlandes oder eine Maßnahme (z. B. ein Offenlegungsersuchen), die sich auf eine nicht mit den Anforderungen in	e) Der Datenimporteur erklärt sich damit einverstanden, während der Laufzeit		(e) The data importer agrees to notify the data exporter promptly if, after
	des Vertrags den Datenexporteur unverzüglich zu benachrichtigen, wenn er		having agreed to these Clauses and for the duration of the contract, it
	nach Zustimmung zu diesen Klauseln Grund zu der Annahme hat, dass für		has reason to believe that it is or has become subject to laws or
	ihn Rechtsvorschriften oder Gepflogenheiten gelten, die nicht mit den		practices not in line with the requirements under paragraph (a),
	Anforderungen in Buchstabe a im Einklang stehen; hierunter fällt auch eine		including following a change in the laws of the third country or a measure
	Änderung der Rechtsvorschriften des Drittlandes oder eine Maßnahme (z. B.		(such as a disclosure request) indicating an application of such laws in
	ein Offenlegungsersuchen), die sich auf eine nicht mit den Anforderungen in		practice that is not in line with the requirements in paragraph (a).

14 Zur Ermittlung der Auswirkungen derartiger Rechtsvorschriften und Gepflogenheiten auf die Einhaltung dieser Klauseln können in die Gesamtbeurteilung verschiedene Elemente einfließen. Diese Elemente können einschlägige und dokumentierte praktische Erfahrungen im Hinblick darauf umfassen, ob es bereits früher Ersuchen um Offenlegung seitens Behörden gab, die einen hinreichend repräsentativen Zeitrahmen abdecken, oder ob es solche Ersuchen nicht gab. Dies betrifft insbesondere interne Aufzeichnungen oder sonstige Belege, die fortlaufend mit gebührender Sorgfalt erstellt und von leitender Ebene bestätigt wurden, sofern diese Informationen rechtmäßig an Dritte weitergegeben werden können. Sofern anhand dieser praktischen Erfahrungen der Schluss gezogen wird, dass dem Datenimporteur die Einhaltung dieser Klauseln nicht unmöglich ist, muss dies durch weitere relevante objektive Elemente untermauert werden; den Parteien obliegt die sorgfältige Prüfung, ob alle diese Elemente ausreichend zuverlässig und repräsentativ sind, um die getroffene Schlussfolgerung zu bekräftigen. Insbesondere müssen die Parteien berücksichtigen, ob ihre praktische Erfahrung durch öffentlich verfügbare oder anderweitig zugängliche zuverlässige Informationen über das Vorhandensein oder Nicht-Vorhandensein von Ersuchen innerhalb desselben Wirtschaftszweigs und/oder über die Anwendung der Rechtsvorschriften in der Praxis, wie Rechtsprechung und Berichte unabhängiger Aufsichtsgremien, erhärtet und nicht widerlegt wird. / As regards the impact of such laws and practices on compliance with these Clauses, different elements may be considered as part of an overall assessment. Such elements may include relevant and documented practical experience with prior instances of requests for disclosure from public authorities, or the absence of such requests, covering a sufficiently representative time- frame. This refers in particular to internal records or other documentation, drawn up on a continuous basis in accordance with due diligence and certified at senior management level, provided that this information can be lawfully shared with third parties. Where this practical experience is relied upon to conclude that the data importer will not be prevented from complying with these Clauses, it needs to be supported by other relevant, objective elements, and it is for the Parties to consider carefully whether these elements together carry sufficient weight, in terms of their reliability and representativeness, to support this conclusion. In particular, the Parties have to take into account whether their practical experience is corroborated and not contradicted by publicly available or otherwise accessible, reliable information on the existence or absence of requests within the same sector and/or the application of the law in practice, such as case law and reports by independent oversight bodies.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 50 von 75

[Seite 51]

Buchstabe a im Einklang stehende Anwendung dieser Rechtsvorschriften in
der Praxis bezieht.
f) Nach einer Benachrichtigung gemäß Buchstabe e oder wenn der	(f) Following a notification pursuant to paragraph (e), or if the data exporter otherwise has reason to believe that the data importer can no longer fulfil its obligations under these Clauses, the data exporter shall promptly identify appropriate measures (e.g. technical or organisational measures to ensure security and confidentiality) to be adopted by the data exporter and/or data importer to address the situation. The data exporter shall suspend the data transfer if it considers that no appropriate safeguards for such transfer can be ensured, or if instructed by the competent supervisory authority to do so. In this case, the data exporter shall be entitled to terminate the contract, insofar as it concerns the processing of personal data under these Clauses. If the contract involves more than two Parties, the data exporter may exercise this right to termination only with respect to the relevant Party, unless the Parties have agreed otherwise. Where the contract is terminated pursuant to this Clause, Clause 16(d) and (e) shall apply.	(f) Following a notification pursuant to paragraph (e), or if the data
Datenexporteur anderweitig Grund zu der Annahme hat, dass der		exporter otherwise has reason to believe that the data importer can no
Datenimporteur seinen Pflichten gemäß diesen Klauseln nicht mehr		longer fulfil its obligations under these Clauses, the data exporter shall
nachkommen kann, ermittelt der Datenexporteur unverzüglich geeignete		promptly identify appropriate measures (e.g. technical or organisational
Maßnahmen (z. B. technische oder organisatorische Maßnahmen zur		measures to ensure security and confidentiality) to be adopted by the
Gewährleistung der Sicherheit und Vertraulichkeit), die der Datenexporteur		data exporter and/or data importer to address the situation. The data
und/oder der Datenimporteur ergreifen müssen, um Abhilfe zu schaffen. Der		exporter shall suspend the data transfer if it considers that no
Datenexporteur setzt die Datenübermittlung aus, wenn er der Auffassung ist,		appropriate safeguards for such transfer can be ensured, or if instructed
dass keine geeigneten Garantien für eine derartige Übermittlung		by the competent supervisory authority to do so. In this case, the data
gewährleistet werden können, oder wenn er von der dafür zuständigen		exporter shall be entitled to terminate the contract, insofar as it concerns
Aufsichtsbehörde dazu angewiesen wird. In diesem Fall ist der		the processing of personal data under these Clauses. If the contract
Datenexporteur berechtigt, den Vertrag zu kündigen, soweit es um die		involves more than two Parties, the data exporter may exercise this right
Verarbeitung personenbezogener Daten gemäß diesen Klauseln geht. Sind		to termination only with respect to the relevant Party, unless the Parties
mehr als zwei Parteien an dem Vertrag beteiligt, so kann der Datenexporteur		have agreed otherwise. Where the contract is terminated pursuant to
von diesem Kündigungsrecht nur gegenüber der verantwortlichen Partei		this Clause, Clause 16(d) and (e) shall apply.
Gebrauch machen, sofern die Parteien nichts anderes vereinbart haben. Wird
der Vertrag gemäß dieser Klausel gekündigt, finden Klausel 16 Buchstaben d
und e Anwendung.
Klausel 15		Clause 15
Pflichten des Datenimporteurs im Falle des Zugangs von Behörden zu		Obligations of the data importer in case of access by public
den Daten		authorities
MODUL EINS: Übermittlung von Verantwortlichen an Verantwortliche		MODULE ONE: Transfer controller to controller
15.1. Benachrichtigung		15.1 Notification
a) Der Datenimporteur erklärt sich damit einverstanden, den Datenexporteur	(a) The data importer agrees to notify the data exporter and, where possible, the data subject promptly (if necessary with the help of the data exporter) if it: (i) receives a legally binding request from a public authority, including judicial authorities, under the laws of the country of destination for the disclosure of personal data transferred pursuant to these Clauses; such notification shall include information about the personal data requested,	(a) The data importer agrees to notify the data exporter and, where
und, soweit möglich, die betroffene Person (gegebenenfalls mit Unterstützung		possible, the data subject promptly (if necessary with the help of the
des Datenexporteurs) unverzüglich zu benachrichtigen,		data exporter) if it:
i) wenn er von einer Behörde, einschließlich Justizbehörden, ein nach den		(i) receives a legally binding request from a public authority, including
Rechtsvorschriften des Bestimmungslandes rechtlich bindendes Ersuchen		judicial authorities, under the laws of the country of destination for the
um Offenlegung personenbezogener Daten erhält, die gemäß diesen		disclosure of personal data transferred pursuant to these Clauses; such
Klauseln übermittelt werden (diese Benachrichtigung muss Informationen		notification shall include information about the personal data requested,
über die angeforderten personenbezogenen Daten, die ersuchende Behörde,

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 51 von 75

[Seite 52]

die Rechtsgrundlage des Ersuchens und die mitgeteilte Antwort enthalten),	the requesting authority, the legal basis for the request and the response provided; or (ii) becomes aware of any direct access by public authorities to personal data transferred pursuant to these Clauses in accordance with the laws of the country of destination; such notification shall include all information available to the importer.	the requesting authority, the legal basis for the request and the response
oder		provided; or
ii) wenn er Kenntnis davon erlangt, dass eine Behörde nach den		(ii) becomes aware of any direct access by public authorities to personal
Rechtsvorschriften des Bestimmungslandes direkten Zugang zu		data transferred pursuant to these Clauses in accordance with the laws
personenbezogenen Daten hat, die gemäß diesen Klauseln übermittelt		of the country of destination; such notification shall include all
wurden; diese Benachrichtigung muss alle dem Datenimporteur verfügbaren		information available to the importer.
Informationen enthalten.
b) Ist es dem Datenimporteur gemäß den Rechtsvorschriften des	(b) If the data importer is prohibited from notifying the data exporter and/or the data subject under the laws of the country of destination, the data importer agrees to use its best efforts to obtain a waiver of the prohibition, with a view to communicating as much information as possible, as soon as possible. The data importer agrees to document its best efforts in order to be able to demonstrate them on request of the data exporter.	(b) If the data importer is prohibited from notifying the data exporter
Bestimmungslandes untersagt, den Datenexporteur und/oder die betroffene		and/or the data subject under the laws of the country of destination, the
Person zu benachrichtigen, so erklärt sich der Datenimporteur einverstanden,		data importer agrees to use its best efforts to obtain a waiver of the
sich nach besten Kräften um eine Aufhebung des Verbots zu bemühen, damit		prohibition, with a view to communicating as much information as
möglichst viele Informationen so schnell wie möglich mitgeteilt werden		possible, as soon as possible. The data importer agrees to document
können. Der Datenimporteur verpflichtet sich, seine Anstrengungen zu		its best efforts in order to be able to demonstrate them on request of the
dokumentieren, um diese auf Verlangen des Datenexporteurs nachweisen zu		data exporter.
können.
c) Soweit dies nach den Rechtsvorschriften des Bestimmungslandes zulässig	(c) Where permissible under the laws of the country of destination, the data importer agrees to provide the data exporter, at regular intervals for the duration of the contract, with as much relevant information as possible on the requests received (in particular, number of requests, type of data requested, requesting authority/ies, whether requests have been challenged and the outcome of such challenges, etc.).	(c) Where permissible under the laws of the country of destination, the
ist, erklärt sich der Datenimporteur bereit, dem Datenexporteur während der		data importer agrees to provide the data exporter, at regular intervals
Vertragslaufzeit in regelmäßigen Abständen möglichst viele sachdienliche		for the duration of the contract, with as much relevant information as
Informationen über die eingegangenen Ersuchen zur Verfügung zu stellen		possible on the requests received (in particular, number of requests,
(insbesondere Anzahl der Ersuchen, Art der angeforderten Daten,		type of data requested, requesting authority/ies, whether requests have
ersuchende Behörde(n), ob Ersuchen angefochten wurden und das Ergebnis		been challenged and the outcome of such challenges, etc.).
solcher Anfechtungen usw.).
d) Der Datenimporteur erklärt sich damit einverstanden, die Informationen		(d) The data importer agrees to preserve the information pursuant to
gemäß den Buchstaben a bis c während der Vertragslaufzeit aufzubewahren		paragraphs (a) to (c) for the duration of the contract and make it
und der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen.		available to the competent supervisory authority on request.
e) Die Buchstaben a bis c gelten unbeschadet der Pflicht des	(e) Paragraphs (a) to (c) are without prejudice to the obligation of the data importer pursuant to Clause 14(e) and Clause 16 to inform the data exporter promptly where it is unable to comply with these Clauses.	(e) Paragraphs (a) to (c) are without prejudice to the obligation of the
Datenimporteurs gemäß Klausel 14 Buchstabe e und Klausel 16, den		data importer pursuant to Clause 14(e) and Clause 16 to inform the data
Datenexporteur unverzüglich zu informieren, wenn er diese Klauseln nicht		exporter promptly where it is unable to comply with these Clauses.
einhalten kann.
15.2. Überprüfung der Rechtmäßigkeit und Datenminimierung		15.2 Review of legality and data minimisation
a) Der Datenimporteur erklärt sich damit einverstanden, die Rechtmäßigkeit		(a) The data importer agrees to review the legality of the request for
des Offenlegungsersuchens zu überprüfen, insbesondere ob das Ersuchen		disclosure, in particular whether it remains within the powers granted to
im Rahmen der Befugnisse liegt, die der ersuchenden Behörde übertragen		the requesting public authority, and to challenge the request if, after

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 52 von 75

[Seite 53]

wurden, und das Ersuchen anzufechten, wenn er nach sorgfältiger	careful assessment, it concludes that there are reasonable grounds to consider that the request is unlawful under the laws of the country of destination, applicable obligations under international law and principles of international comity. The data importer shall, under the same conditions, pursue possibilities of appeal. When challenging a request, the data importer shall seek interim measures with a view to suspending the effects of the request until the competent judicial authority has decided on its merits. It shall not disclose the personal data requested until required to do so under the applicable procedural rules. These requirements are without prejudice to the obligations of the data importer under Clause 14(e).	careful assessment, it concludes that there are reasonable grounds to
Beurteilung zu dem Schluss kommt, dass hinreichende Gründe zu der		consider that the request is unlawful under the laws of the country of
Annahme bestehen, dass das Ersuchen nach den Rechtsvorschriften des		destination, applicable obligations under international law and principles
Bestimmungslandes, gemäß geltenden völkerrechtlichen Verpflichtungen		of international comity. The data importer shall, under the same
und nach den Grundsätzen der Völkercourtoisie rechtswidrig ist. Unter den		conditions, pursue possibilities of appeal. When challenging a request,
genannten Bedingungen sind vom Datenimporteur mögliche Rechtsmittel		the data importer shall seek interim measures with a view to suspending
einzulegen. Bei der Anfechtung eines Ersuchens erwirkt der Datenimporteur		the effects of the request until the competent judicial authority has
einstweilige Maßnahmen, um die Wirkung des Ersuchens auszusetzen, bis		decided on its merits. It shall not disclose the personal data requested
die zuständige Justizbehörde über dessen Begründetheit entschieden hat. Er		until required to do so under the applicable procedural rules. These
legt die angeforderten personenbezogenen Daten erst offen, wenn dies nach		requirements are without prejudice to the obligations of the data
den geltenden Verfahrensregeln erforderlich ist. Diese Anforderungen gelten		importer under Clause 14(e).
unbeschadet der Pflichten des Datenimporteurs gemäß Klausel 14
Buchstabe e.
b) Der Datenimporteur erklärt sich damit einverstanden, seine rechtliche	(b) The data importer agrees to document its legal assessment and any challenge to the request for disclosure and, to the extent permissible under the laws of the country of destination, make the documentation available to the data exporter. It shall also make it available to the competent supervisory authority on request.	(b) The data importer agrees to document its legal assessment and any
Beurteilung und eine etwaige Anfechtung des Offenlegungsersuchens zu		challenge to the request for disclosure and, to the extent permissible
dokumentieren und diese Unterlagen dem Datenexporteur zur Verfügung zu		under the laws of the country of destination, make the documentation
stellen, soweit dies nach den Rechtsvorschriften des Bestimmungslandes		available to the data exporter. It shall also make it available to the
zulässig ist. Auf Anfrage stellt er diese Unterlagen auch der zuständigen		competent supervisory authority on request.
Aufsichtsbehörde zur Verfügung.
c) Der Datenimporteur erklärt sich damit einverstanden, bei der Beantwortung	(c) The data importer agrees to provide the minimum amount of information permissible when responding to a request for disclosure, based on a reasonable interpretation of the request.	(c) The data importer agrees to provide the minimum amount of
eines Offenlegungsersuchens auf der Grundlage einer vernünftigen		information permissible when responding to a request for disclosure,
Auslegung des Ersuchens die zulässige Mindestmenge an Informationen		based on a reasonable interpretation of the request.
bereitzustellen.
MODUL ZWEI: Übermittlung von Verantwortlichen an	MODULE TWO: Transfer controller to processor	MODULE TWO: Transfer controller to processor
Auftragsverarbeiter
15.1. Benachrichtigung		15.1 Notification
a) Der Datenimporteur erklärt sich damit einverstanden, den Datenexporteur	(a) The data importer agrees to notify the data exporter and, where possible, the data subject promptly (if necessary with the help of the data exporter) if it: (i) receives a legally binding request from a public authority, including judicial authorities, under the laws of the country of destination for the disclosure of personal data transferred pursuant to these Clauses; such notification shall include information about the personal data requested,	(a) The data importer agrees to notify the data exporter and, where
und, soweit möglich, die betroffene Person (gegebenenfalls mit Unterstützung		possible, the data subject promptly (if necessary with the help of the
des Datenexporteurs) unverzüglich zu benachrichtigen,		data exporter) if it:
i) wenn er von einer Behörde, einschließlich Justizbehörden, ein nach den		(i) receives a legally binding request from a public authority, including
Rechtsvorschriften des Bestimmungslandes rechtlich bindendes Ersuchen		judicial authorities, under the laws of the country of destination for the
um Offenlegung personenbezogener Daten erhält, die gemäß diesen		disclosure of personal data transferred pursuant to these Clauses; such
Klauseln übermittelt werden (diese Benachrichtigung muss Informationen		notification shall include information about the personal data requested,
über die angeforderten personenbezogenen Daten, die ersuchende Behörde,

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 53 von 75

[Seite 54]

die Rechtsgrundlage des Ersuchens und die mitgeteilte Antwort enthalten),	the requesting authority, the legal basis for the request and the response provided; or (ii) becomes aware of any direct access by public authorities to personal data transferred pursuant to these Clauses in accordance with the laws of the country of destination; such notification shall include all information available to the importer.	the requesting authority, the legal basis for the request and the response
oder		provided; or
ii) wenn er Kenntnis davon erlangt, dass eine Behörde nach den		(ii) becomes aware of any direct access by public authorities to personal
Rechtsvorschriften des Bestimmungslandes direkten Zugang zu		data transferred pursuant to these Clauses in accordance with the laws
personenbezogenen Daten hat, die gemäß diesen Klauseln übermittelt		of the country of destination; such notification shall include all
wurden; diese Benachrichtigung muss alle dem Datenimporteur verfügbaren		information available to the importer.
Informationen enthalten.
b) Ist es dem Datenimporteur gemäß den Rechtsvorschriften des	(b) If the data importer is prohibited from notifying the data exporter and/or the data subject under the laws of the country of destination, the data importer agrees to use its best efforts to obtain a waiver of the prohibition, with a view to communicating as much information as possible, as soon as possible. The data importer agrees to document its best efforts in order to be able to demonstrate them on request of the data exporter.	(b) If the data importer is prohibited from notifying the data exporter
Bestimmungslandes untersagt, den Datenexporteur und/oder die betroffene		and/or the data subject under the laws of the country of destination, the
Person zu benachrichtigen, so erklärt sich der Datenimporteur einverstanden,		data importer agrees to use its best efforts to obtain a waiver of the
sich nach besten Kräften um eine Aufhebung des Verbots zu bemühen, damit		prohibition, with a view to communicating as much information as
möglichst viele Informationen so schnell wie möglich mitgeteilt werden		possible, as soon as possible. The data importer agrees to document
können. Der Datenimporteur verpflichtet sich, seine Anstrengungen zu		its best efforts in order to be able to demonstrate them on request of the
dokumentieren, um diese auf Verlangen des Datenexporteurs nachweisen zu		data exporter.
können.
c) Soweit dies nach den Rechtsvorschriften des Bestimmungslandes zulässig	(c) Where permissible under the laws of the country of destination, the data importer agrees to provide the data exporter, at regular intervals for the duration of the contract, with as much relevant information as possible on the requests received (in particular, number of requests, type of data requested, requesting authority/ies, whether requests have been challenged and the outcome of such challenges, etc.).	(c) Where permissible under the laws of the country of destination, the
ist, erklärt sich der Datenimporteur bereit, dem Datenexporteur während der		data importer agrees to provide the data exporter, at regular intervals
Vertragslaufzeit in regelmäßigen Abständen möglichst viele sachdienliche		for the duration of the contract, with as much relevant information as
Informationen über die eingegangenen Ersuchen zur Verfügung zu stellen		possible on the requests received (in particular, number of requests,
(insbesondere Anzahl der Ersuchen, Art der angeforderten Daten,		type of data requested, requesting authority/ies, whether requests have
ersuchende Behörde(n), ob Ersuchen angefochten wurden und das Ergebnis		been challenged and the outcome of such challenges, etc.).
solcher Anfechtungen usw.).
d) Der Datenimporteur erklärt sich damit einverstanden, die Informationen		(d) The data importer agrees to preserve the information pursuant to
gemäß den Buchstaben a bis c während der Vertragslaufzeit aufzubewahren		paragraphs (a) to (c) for the duration of the contract and make it
und der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen.		available to the competent supervisory authority on request.
e) Die Buchstaben a bis c gelten unbeschadet der Pflicht des	(e) Paragraphs (a) to (c) are without prejudice to the obligation of the data importer pursuant to Clause 14(e) and Clause 16 to inform the data exporter promptly where it is unable to comply with these Clauses.	(e) Paragraphs (a) to (c) are without prejudice to the obligation of the
Datenimporteurs gemäß Klausel 14 Buchstabe e und Klausel 16, den		data importer pursuant to Clause 14(e) and Clause 16 to inform the data
Datenexporteur unverzüglich zu informieren, wenn er diese Klauseln nicht		exporter promptly where it is unable to comply with these Clauses.
einhalten kann.
15.2. Überprüfung der Rechtmäßigkeit und Datenminimierung		15.2 Review of legality and data minimisation
a) Der Datenimporteur erklärt sich damit einverstanden, die Rechtmäßigkeit		(a) The data importer agrees to review the legality of the request for
des Offenlegungsersuchens zu überprüfen, insbesondere ob das Ersuchen		disclosure, in particular whether it remains within the powers granted to
im Rahmen der Befugnisse liegt, die der ersuchenden Behörde übertragen		the requesting public authority, and to challenge the request if, after

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 54 von 75

[Seite 55]

wurden, und das Ersuchen anzufechten, wenn er nach sorgfältiger	careful assessment, it concludes that there are reasonable grounds to consider that the request is unlawful under the laws of the country of destination, applicable obligations under international law and principles of international comity. The data importer shall, under the same conditions, pursue possibilities of appeal. When challenging a request, the data importer shall seek interim measures with a view to suspending the effects of the request until the competent judicial authority has decided on its merits. It shall not disclose the personal data requested until required to do so under the applicable procedural rules. These requirements are without prejudice to the obligations of the data importer under Clause 14(e).	careful assessment, it concludes that there are reasonable grounds to
Beurteilung zu dem Schluss kommt, dass hinreichende Gründe zu der		consider that the request is unlawful under the laws of the country of
Annahme bestehen, dass das Ersuchen nach den Rechtsvorschriften des		destination, applicable obligations under international law and principles
Bestimmungslandes, gemäß geltenden völkerrechtlichen Verpflichtungen		of international comity. The data importer shall, under the same
und nach den Grundsätzen der Völkercourtoisie rechtswidrig ist. Unter den		conditions, pursue possibilities of appeal. When challenging a request,
genannten Bedingungen sind vom Datenimporteur mögliche Rechtsmittel		the data importer shall seek interim measures with a view to suspending
einzulegen. Bei der Anfechtung eines Ersuchens erwirkt der Datenimporteur		the effects of the request until the competent judicial authority has
einstweilige Maßnahmen, um die Wirkung des Ersuchens auszusetzen, bis		decided on its merits. It shall not disclose the personal data requested
die zuständige Justizbehörde über dessen Begründetheit entschieden hat. Er		until required to do so under the applicable procedural rules. These
legt die angeforderten personenbezogenen Daten erst offen, wenn dies nach		requirements are without prejudice to the obligations of the data
den geltenden Verfahrensregeln erforderlich ist. Diese Anforderungen gelten		importer under Clause 14(e).
unbeschadet der Pflichten des Datenimporteurs gemäß Klausel 14
Buchstabe e.
b) Der Datenimporteur erklärt sich damit einverstanden, seine rechtliche	(b) The data importer agrees to document its legal assessment and any challenge to the request for disclosure and, to the extent permissible under the laws of the country of destination, make the documentation available to the data exporter. It shall also make it available to the competent supervisory authority on request.	(b) The data importer agrees to document its legal assessment and any
Beurteilung und eine etwaige Anfechtung des Offenlegungsersuchens zu		challenge to the request for disclosure and, to the extent permissible
dokumentieren und diese Unterlagen dem Datenexporteur zur Verfügung zu		under the laws of the country of destination, make the documentation
stellen, soweit dies nach den Rechtsvorschriften des Bestimmungslandes		available to the data exporter. It shall also make it available to the
zulässig ist. Auf Anfrage stellt er diese Unterlagen auch der zuständigen		competent supervisory authority on request.
Aufsichtsbehörde zur Verfügung.
c) Der Datenimporteur erklärt sich damit einverstanden, bei der Beantwortung	(c) The data importer agrees to provide the minimum amount of information permissible when responding to a request for disclosure, based on a reasonable interpretation of the request.	(c) The data importer agrees to provide the minimum amount of
eines Offenlegungsersuchens auf der Grundlage einer vernünftigen		information permissible when responding to a request for disclosure,
Auslegung des Ersuchens die zulässige Mindestmenge an Informationen		based on a reasonable interpretation of the request.
bereitzustellen.
MODUL DREI: Übermittlung von Auftragsverarbeitern an	MODULE THREE: Transfer processor to processor	MODULE THREE: Transfer processor to processor
Auftragsverarbeiter
15.1. Benachrichtigung		15.1 Notification
a) Der Datenimporteur erklärt sich damit einverstanden, den Datenexporteur	(a) The data importer agrees to notify the data exporter and, where possible, the data subject promptly (if necessary with the help of the data exporter) if it: (i) receives a legally binding request from a public authority, including judicial authorities, under the laws of the country of destination for the disclosure of personal data transferred pursuant to these Clauses; such notification shall include information about the personal data requested,	(a) The data importer agrees to notify the data exporter and, where
und, soweit möglich, die betroffene Person (gegebenenfalls mit Unterstützung		possible, the data subject promptly (if necessary with the help of the
des Datenexporteurs) unverzüglich zu benachrichtigen,		data exporter) if it:
i) wenn er von einer Behörde, einschließlich Justizbehörden, ein nach den		(i) receives a legally binding request from a public authority, including
Rechtsvorschriften des Bestimmungslandes rechtlich bindendes Ersuchen		judicial authorities, under the laws of the country of destination for the
um Offenlegung personenbezogener Daten erhält, die gemäß diesen		disclosure of personal data transferred pursuant to these Clauses; such
Klauseln übermittelt werden (diese Benachrichtigung muss Informationen		notification shall include information about the personal data requested,
über die angeforderten personenbezogenen Daten, die ersuchende Behörde,

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 55 von 75

[Seite 56]

die Rechtsgrundlage des Ersuchens und die mitgeteilte Antwort enthalten),	the requesting authority, the legal basis for the request and the response provided; or (ii) becomes aware of any direct access by public authorities to personal data transferred pursuant to these Clauses in accordance with the laws of the country of destination; such notification shall include all information available to the importer. The data exporter shall forward the notification to the controller.	the requesting authority, the legal basis for the request and the response
oder		provided; or
ii) wenn er Kenntnis davon erlangt, dass eine Behörde nach den		(ii) becomes aware of any direct access by public authorities to personal
Rechtsvorschriften des Bestimmungslandes direkten Zugang zu		data transferred pursuant to these Clauses in accordance with the laws
personenbezogenen Daten hat, die gemäß diesen Klauseln übermittelt		of the country of destination; such notification shall include all
wurden; diese Benachrichtigung muss alle dem Datenimporteur verfügbaren		information available to the importer.
Informationen enthalten.
		The data exporter shall forward the notification to the controller.
Der Datenexporteur leitet die Benachrichtigung an den Verantwortlichen
weiter.
b) Ist es dem Datenimporteur gemäß den Rechtsvorschriften des	(b) If the data importer is prohibited from notifying the data exporter and/or the data subject under the laws of the country of destination, the data importer agrees to use its best efforts to obtain a waiver of the prohibition, with a view to communicating as much information as possible, as soon as possible. The data importer agrees to document its best efforts in order to be able to demonstrate them on request of the data exporter.	(b) If the data importer is prohibited from notifying the data exporter
Bestimmungslandes untersagt, den Datenexporteur und/oder die betroffene		and/or the data subject under the laws of the country of destination, the
Person zu benachrichtigen, so erklärt sich der Datenimporteur einverstanden,		data importer agrees to use its best efforts to obtain a waiver of the
sich nach besten Kräften um eine Aufhebung des Verbots zu bemühen, damit		prohibition, with a view to communicating as much information as
möglichst viele Informationen so schnell wie möglich mitgeteilt werden		possible, as soon as possible. The data importer agrees to document
können. Der Datenimporteur verpflichtet sich, seine Anstrengungen zu		its best efforts in order to be able to demonstrate them on request of the
dokumentieren, um diese auf Verlangen des Datenexporteurs nachweisen zu		data exporter.
können.
c) Soweit dies nach den Rechtsvorschriften des Bestimmungslandes zulässig	(c) Where permissible under the laws of the country of destination, the data importer agrees to provide the data exporter, at regular intervals for the duration of the contract, with as much relevant information as possible on the requests received (in particular, number of requests, type of data requested, requesting authority/ies, whether requests have been challenged and the outcome of such challenges, etc.). The data exporter shall forward the information to the controller.	(c) Where permissible under the laws of the country of destination, the
ist, erklärt sich der Datenimporteur bereit, dem Datenexporteur während der		data importer agrees to provide the data exporter, at regular intervals
Vertragslaufzeit in regelmäßigen Abständen möglichst viele sachdienliche		for the duration of the contract, with as much relevant information as
Informationen über die eingegangenen Ersuchen zur Verfügung zu stellen		possible on the requests received (in particular, number of requests,
(insbesondere Anzahl der Ersuchen, Art der angeforderten Daten,		type of data requested, requesting authority/ies, whether requests have
ersuchende Behörde(n), ob Ersuchen angefochten wurden und das Ergebnis		been challenged and the outcome of such challenges, etc.). The data
solcher Anfechtungen usw.). Der Datenexporteur leitet die Informationen an		exporter shall forward the information to the controller.
den Verantwortlichen weiter.
d) Der Datenimporteur erklärt sich damit einverstanden, die Informationen		(d) The data importer agrees to preserve the information pursuant to
gemäß den Buchstaben a bis c während der Vertragslaufzeit aufzubewahren		paragraphs (a) to (c) for the duration of the contract and make it
und der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen.		available to the competent supervisory authority on request.
e) Die Buchstaben a bis c gelten unbeschadet der Pflicht des	(e) Paragraphs (a) to (c) are without prejudice to the obligation of the data importer pursuant to Clause 14(e) and Clause 16 to inform the data exporter promptly where it is unable to comply with these Clauses.	(e) Paragraphs (a) to (c) are without prejudice to the obligation of the
Datenimporteurs gemäß Klausel 14 Buchstabe e und Klausel 16, den		data importer pursuant to Clause 14(e) and Clause 16 to inform the data
Datenexporteur unverzüglich zu informieren, wenn er diese Klauseln nicht		exporter promptly where it is unable to comply with these Clauses.
einhalten kann.
15.2. Überprüfung der Rechtmäßigkeit und Datenminimierung		15.2 Review of legality and data minimisation

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 56 von 75

[Seite 57]

a) Der Datenimporteur erklärt sich damit einverstanden, die Rechtmäßigkeit	(a) The data importer agrees to review the legality of the request for disclosure, in particular whether it remains within the powers granted to the requesting public authority, and to challenge the request if, after careful assessment, it concludes that there are reasonable grounds to consider that the request is unlawful under the laws of the country of destination, applicable obligations under international law and principles of international comity. The data importer shall, under the same conditions, pursue possibilities of appeal. When challenging a request, the data importer shall seek interim measures with a view to suspending the effects of the request until the competent judicial authority has decided on its merits. It shall not disclose the personal data requested until required to do so under the applicable procedural rules. These requirements are without prejudice to the obligations of the data importer under Clause 14(e).	(a) The data importer agrees to review the legality of the request for
des Offenlegungsersuchens zu überprüfen, insbesondere ob das Ersuchen		disclosure, in particular whether it remains within the powers granted to
im Rahmen der Befugnisse liegt, die der ersuchenden Behörde übertragen		the requesting public authority, and to challenge the request if, after
wurden, und das Ersuchen anzufechten, wenn er nach sorgfältiger		careful assessment, it concludes that there are reasonable grounds to
Beurteilung zu dem Schluss kommt, dass hinreichende Gründe zu der		consider that the request is unlawful under the laws of the country of
Annahme bestehen, dass das Ersuchen nach den Rechtsvorschriften des		destination, applicable obligations under international law and principles
Bestimmungslandes, gemäß geltenden völkerrechtlichen Verpflichtungen		of international comity. The data importer shall, under the same
und nach den Grundsätzen der Völkercourtoisie rechtswidrig ist. Unter den		conditions, pursue possibilities of appeal. When challenging a request,
genannten Bedingungen sind vom Datenimporteur mögliche Rechtsmittel		the data importer shall seek interim measures with a view to suspending
einzulegen. Bei der Anfechtung eines Ersuchens erwirkt der Datenimporteur		the effects of the request until the competent judicial authority has
einstweilige Maßnahmen, um die Wirkung des Ersuchens auszusetzen, bis		decided on its merits. It shall not disclose the personal data requested
die zuständige Justizbehörde über dessen Begründetheit entschieden hat. Er		until required to do so under the applicable procedural rules. These
legt die angeforderten personenbezogenen Daten erst offen, wenn dies nach		requirements are without prejudice to the obligations of the data
den geltenden Verfahrensregeln erforderlich ist. Diese Anforderungen gelten		importer under Clause 14(e).
unbeschadet der Pflichten des Datenimporteurs gemäß Klausel 14
Buchstabe e.
b) Der Datenimporteur erklärt sich damit einverstanden, seine rechtliche	(b) The data importer agrees to document its legal assessment and any challenge to the request for disclosure and, to the extent permissible under the laws of the country of destination, make the documentation available to the data exporter. It shall also make it available to the competent supervisory authority on request. The data exporter shall make the assessment available to the controller.	(b) The data importer agrees to document its legal assessment and any
Beurteilung und eine etwaige Anfechtung des Offenlegungsersuchens zu		challenge to the request for disclosure and, to the extent permissible
dokumentieren und diese Unterlagen dem Datenexporteur zur Verfügung zu		under the laws of the country of destination, make the documentation
stellen, soweit dies nach den Rechtsvorschriften des Bestimmungslandes		available to the data exporter. It shall also make it available to the
zulässig ist. Auf Anfrage stellt er diese Unterlagen auch der zuständigen		competent supervisory authority on request. The data exporter shall
Aufsichtsbehörde zur Verfügung. Der Datenexporteur stellt die Beurteilung		make the assessment available to the controller.
dem Verantwortlichen zur Verfügung.
c) Der Datenimporteur erklärt sich damit einverstanden, bei der Beantwortung	(c) The data importer agrees to provide the minimum amount of information permissible when responding to a request for disclosure, based on a reasonable interpretation of the request.	(c) The data importer agrees to provide the minimum amount of
eines Offenlegungsersuchens auf der Grundlage einer vernünftigen		information permissible when responding to a request for disclosure,
Auslegung des Ersuchens die zulässige Mindestmenge an Informationen		based on a reasonable interpretation of the request.
bereitzustellen.
MODUL VIER: Übermittlung von Auftragsverarbeitern an	MODULE FOUR: Transfer processor to controller (where the EU processor combines the personal data received from the third country-controller with personal data collected by the processor in the EU)	MODULE FOUR: Transfer processor to controller (where the EU
Verantwortliche (wenn der in der EU ansässige Auftragsverarbeiter die		processor combines the personal data received from the third
von dem im Drittland ansässigen Verantwortlichen erhaltenen		country-controller with personal data collected by the processor in
personenbezogenen Daten mit personenbezogenen Daten kombiniert,		the EU)
die vom Auftragsverarbeiter in der EU erhoben wurden)
15.1. Benachrichtigung		15.1 Notification

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 57 von 75

[Seite 58]

a) Der Datenimporteur erklärt sich damit einverstanden, den Datenexporteur	(a) The data importer agrees to notify the data exporter and, where possible, the data subject promptly (if necessary with the help of the data exporter) if it: (i) receives a legally binding request from a public authority, including judicial authorities, under the laws of the country of destination for the disclosure of personal data transferred pursuant to these Clauses; such notification shall include information about the personal data requested, the requesting authority, the legal basis for the request and the response provided; or (ii) becomes aware of any direct access by public authorities to personal data transferred pursuant to these Clauses in accordance with the laws of the country of destination; such notification shall include all information available to the importer.	(a) The data importer agrees to notify the data exporter and, where
und, soweit möglich, die betroffene Person (gegebenenfalls mit Unterstützung		possible, the data subject promptly (if necessary with the help of the
des Datenexporteurs) unverzüglich zu benachrichtigen,		data exporter) if it:
i) wenn er von einer Behörde, einschließlich Justizbehörden, ein nach den		(i) receives a legally binding request from a public authority, including
Rechtsvorschriften des Bestimmungslandes rechtlich bindendes Ersuchen		judicial authorities, under the laws of the country of destination for the
um Offenlegung personenbezogener Daten erhält, die gemäß diesen		disclosure of personal data transferred pursuant to these Clauses; such
Klauseln übermittelt werden (diese Benachrichtigung muss Informationen		notification shall include information about the personal data requested,
über die angeforderten personenbezogenen Daten, die ersuchende Behörde,		the requesting authority, the legal basis for the request and the response
die Rechtsgrundlage des Ersuchens und die mitgeteilte Antwort enthalten),		provided; or
oder
		(ii) becomes aware of any direct access by public authorities to personal
ii) wenn er Kenntnis davon erlangt, dass eine Behörde nach den		data transferred pursuant to these Clauses in accordance with the laws
Rechtsvorschriften des Bestimmungslandes direkten Zugang zu		of the country of destination; such notification shall include all
personenbezogenen Daten hat, die gemäß diesen Klauseln übermittelt		information available to the importer.
wurden; diese Benachrichtigung muss alle dem Datenimporteur verfügbaren
Informationen enthalten.
b) Ist es dem Datenimporteur gemäß den Rechtsvorschriften des	(b) If the data importer is prohibited from notifying the data exporter and/or the data subject under the laws of the country of destination, the data importer agrees to use its best efforts to obtain a waiver of the prohibition, with a view to communicating as much information as possible, as soon as possible. The data importer agrees to document its best efforts in order to be able to demonstrate them on request of the data exporter.	(b) If the data importer is prohibited from notifying the data exporter
Bestimmungslandes untersagt, den Datenexporteur und/oder die betroffene		and/or the data subject under the laws of the country of destination, the
Person zu benachrichtigen, so erklärt sich der Datenimporteur einverstanden,		data importer agrees to use its best efforts to obtain a waiver of the
sich nach besten Kräften um eine Aufhebung des Verbots zu bemühen, damit		prohibition, with a view to communicating as much information as
möglichst viele Informationen so schnell wie möglich mitgeteilt werden		possible, as soon as possible. The data importer agrees to document
können. Der Datenimporteur verpflichtet sich, seine Anstrengungen zu		its best efforts in order to be able to demonstrate them on request of the
dokumentieren, um diese auf Verlangen des Datenexporteurs nachweisen zu		data exporter.
können.
c) Soweit dies nach den Rechtsvorschriften des Bestimmungslandes zulässig	(c) Where permissible under the laws of the country of destination, the data importer agrees to provide the data exporter, at regular intervals for the duration of the contract, with as much relevant information as possible on the requests received (in particular, number of requests, type of data requested, requesting authority/ies, whether requests have been challenged and the outcome of such challenges, etc.).	(c) Where permissible under the laws of the country of destination, the
ist, erklärt sich der Datenimporteur bereit, dem Datenexporteur während der		data importer agrees to provide the data exporter, at regular intervals
Vertragslaufzeit in regelmäßigen Abständen möglichst viele sachdienliche		for the duration of the contract, with as much relevant information as
Informationen über die eingegangenen Ersuchen zur Verfügung zu stellen		possible on the requests received (in particular, number of requests,
(insbesondere Anzahl der Ersuchen, Art der angeforderten Daten,		type of data requested, requesting authority/ies, whether requests have
ersuchende Behörde(n), ob Ersuchen angefochten wurden und das Ergebnis		been challenged and the outcome of such challenges, etc.).
solcher Anfechtungen usw.).
d) Der Datenimporteur erklärt sich damit einverstanden, die Informationen		(d) The data importer agrees to preserve the information pursuant to
gemäß den Buchstaben a bis c während der Vertragslaufzeit aufzubewahren		paragraphs (a) to (c) for the duration of the contract and make it
und der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen.		available to the competent supervisory authority on request.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 58 von 75

[Seite 59]

e) Die Buchstaben a bis c gelten unbeschadet der Pflicht des	(e) Paragraphs (a) to (c) are without prejudice to the obligation of the data importer pursuant to Clause 14(e) and Clause 16 to inform the data exporter promptly where it is unable to comply with these Clauses.	(e) Paragraphs (a) to (c) are without prejudice to the obligation of the
Datenimporteurs gemäß Klausel 14 Buchstabe e und Klausel 16, den		data importer pursuant to Clause 14(e) and Clause 16 to inform the data
Datenexporteur unverzüglich zu informieren, wenn er diese Klauseln nicht		exporter promptly where it is unable to comply with these Clauses.
einhalten kann.
15.2. Überprüfung der Rechtmäßigkeit und Datenminimierung		15.2 Review of legality and data minimisation
a) Der Datenimporteur erklärt sich damit einverstanden, die Rechtmäßigkeit	(a) The data importer agrees to review the legality of the request for disclosure, in particular whether it remains within the powers granted to the requesting public authority, and to challenge the request if, after careful assessment, it concludes that there are reasonable grounds to consider that the request is unlawful under the laws of the country of destination, applicable obligations under international law and principles of international comity. The data importer shall, under the same conditions, pursue possibilities of appeal. When challenging a request, the data importer shall seek interim measures with a view to suspending the effects of the request until the competent judicial authority has decided on its merits. It shall not disclose the personal data requested until required to do so under the applicable procedural rules. These requirements are without prejudice to the obligations of the data importer under Clause 14(e).	(a) The data importer agrees to review the legality of the request for
des Offenlegungsersuchens zu überprüfen, insbesondere ob das Ersuchen		disclosure, in particular whether it remains within the powers granted to
im Rahmen der Befugnisse liegt, die der ersuchenden Behörde übertragen		the requesting public authority, and to challenge the request if, after
wurden, und das Ersuchen anzufechten, wenn er nach sorgfältiger		careful assessment, it concludes that there are reasonable grounds to
Beurteilung zu dem Schluss kommt, dass hinreichende Gründe zu der		consider that the request is unlawful under the laws of the country of
Annahme bestehen, dass das Ersuchen nach den Rechtsvorschriften des		destination, applicable obligations under international law and principles
Bestimmungslandes, gemäß geltenden völkerrechtlichen Verpflichtungen		of international comity. The data importer shall, under the same
und nach den Grundsätzen der Völkercourtoisie rechtswidrig ist. Unter den		conditions, pursue possibilities of appeal. When challenging a request,
genannten Bedingungen sind vom Datenimporteur mögliche Rechtsmittel		the data importer shall seek interim measures with a view to suspending
einzulegen. Bei der Anfechtung eines Ersuchens erwirkt der Datenimporteur		the effects of the request until the competent judicial authority has
einstweilige Maßnahmen, um die Wirkung des Ersuchens auszusetzen, bis		decided on its merits. It shall not disclose the personal data requested
die zuständige Justizbehörde über dessen Begründetheit entschieden hat. Er		until required to do so under the applicable procedural rules. These
legt die angeforderten personenbezogenen Daten erst offen, wenn dies nach		requirements are without prejudice to the obligations of the data
den geltenden Verfahrensregeln erforderlich ist. Diese Anforderungen gelten		importer under Clause 14(e).
unbeschadet der Pflichten des Datenimporteurs gemäß Klausel 14
Buchstabe e.
b) Der Datenimporteur erklärt sich damit einverstanden, seine rechtliche	(b) The data importer agrees to document its legal assessment and any challenge to the request for disclosure and, to the extent permissible under the laws of the country of destination, make the documentation available to the data exporter. It shall also make it available to the competent supervisory authority on request.	(b) The data importer agrees to document its legal assessment and any
Beurteilung und eine etwaige Anfechtung des Offenlegungsersuchens zu		challenge to the request for disclosure and, to the extent permissible
dokumentieren und diese Unterlagen dem Datenexporteur zur Verfügung zu		under the laws of the country of destination, make the documentation
stellen, soweit dies nach den Rechtsvorschriften des Bestimmungslandes		available to the data exporter. It shall also make it available to the
zulässig ist. Auf Anfrage stellt er diese Unterlagen auch der zuständigen		competent supervisory authority on request.
Aufsichtsbehörde zur Verfügung.
c) Der Datenimporteur erklärt sich damit einverstanden, bei der Beantwortung	(c) The data importer agrees to provide the minimum amount of information permissible when responding to a request for disclosure, based on a reasonable interpretation of the request.	(c) The data importer agrees to provide the minimum amount of
eines Offenlegungsersuchens auf der Grundlage einer vernünftigen		information permissible when responding to a request for disclosure,
Auslegung des Ersuchens die zulässige Mindestmenge an Informationen		based on a reasonable interpretation of the request.
bereitzustellen.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 59 von 75

[Seite 60]

ABSCHNITT IV — SCHLUSSBESTIMMUNGEN		SECTION IV – FINAL PROVISIONS
Klausel 16		Clause 16
Verstöße gegen die Klauseln und Beendigung des Vertrags		Non-compliance with the Clauses and termination
a) Der Datenimporteur unterrichtet den Datenexporteur unverzüglich, wenn er	(a) The data importer shall promptly inform the data exporter if it is unable to comply with these Clauses, for whatever reason.	(a) The data importer shall promptly inform the data exporter if it is
aus welchen Gründen auch immer nicht in der Lage ist, diese Klauseln		unable to comply with these Clauses, for whatever reason.
einzuhalten.
b) Verstößt der Datenimporteur gegen diese Klauseln oder kann er diese		(b) In the event that the data importer is in breach of these Clauses or
Klauseln nicht einhalten, setzt der Datenexporteur die Übermittlung		unable to comply with these Clauses, the data exporter shall suspend
personenbezogener Daten an den Datenimporteur aus, bis der Verstoß		the transfer of personal data to the data importer until compliance is
beseitigt oder der Vertrag beendet ist. Dies gilt unbeschadet von Klausel 14		again ensured or the contract is terminated. This is without prejudice to
Buchstabe f.		Clause 14(f).
c) Der Datenexporteur ist berechtigt, den Vertrag zu kündigen, soweit er die	(c) The data exporter shall be entitled to terminate the contract, insofar as it concerns the processing of personal data under these Clauses, where: (i) the data exporter has suspended the transfer of personal data to the data importer pursuant to paragraph (b) and compliance with these Clauses is not restored within a reasonable time and in any event within one month of suspension; (ii) the data importer is in substantial or persistent breach of these Clauses; or (iii) the data importer fails to comply with a binding decision of a competent court or supervisory authority regarding its obligations under these Clauses. In these cases, it shall inform the competent supervisory authority [for Module Three: and the controller] of such non-compliance. Where the contract involves more than two Parties, the data exporter may exercise this right to termination only with respect to the relevant Party, unless the Parties have agreed otherwise.	(c) The data exporter shall be entitled to terminate the contract, insofar
Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft,		as it concerns the processing of personal data under these Clauses,
wenn		where:
i) der Datenexporteur die Übermittlung personenbezogener Daten an den		(i) the data exporter has suspended the transfer of personal data to the
Datenimporteur gemäß Buchstabe b ausgesetzt hat und die Einhaltung dieser		data importer pursuant to paragraph (b) and compliance with these
Klauseln nicht innerhalb einer angemessenen Frist, in jedem Fall aber		Clauses is not restored within a reasonable time and in any event within
innerhalb einer einmonatigen Aussetzung, wiederhergestellt wurde,		one month of suspension;
ii) der Datenimporteur in erheblichem Umfang oder fortdauernd gegen diese		(ii) the data importer is in substantial or persistent breach of these
Klauseln verstößt oder		Clauses; or
iii) der Datenimporteur einer verbindlichen Entscheidung eines zuständigen		(iii) the data importer fails to comply with a binding decision of a
Gerichts oder einer zuständigen Aufsichtsbehörde, die seine Pflichten gemäß		competent court or supervisory authority regarding its obligations under
diesen Klauseln zum Gegenstand hat, nicht nachkommt.		these Clauses.
In diesen Fällen unterrichtet der Datenexporteur die zuständige		In these cases, it shall inform the competent supervisory authority [for
Aufsichtsbehörde [in Bezug auf Modul drei: und den Verantwortlichen] über		Module Three: and the controller] of such non-compliance. Where the
derartige Verstöße. Sind mehr als zwei Parteien an dem Vertrag beteiligt, so		contract involves more than two Parties, the data exporter may exercise
kann der Datenexporteur von diesem Kündigungsrecht nur gegenüber der		this right to termination only with respect to the relevant Party, unless
verantwortlichen Partei Gebrauch machen, sofern die Parteien nichts anderes		the Parties have agreed otherwise.
vereinbart haben.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 60 von 75

[Seite 61]

	d) [In Bezug auf Modul eins: Personenbezogene Daten, die vor Beendigung	(d) [For Module One: Personal data that has been transferred prior to the termination of the contract pursuant to paragraph (c) shall at the choice of the data exporter immediately be returned to the data exporter or deleted in its entirety. The same shall apply to any copies of the data.] [For Module Two: Personal data that has been transferred prior to the termination of the contract pursuant to paragraph (c) shall at the choice of the data exporter immediately be returned to the data exporter or deleted in its entirety. The same shall apply to any copies of the data.] [For Module Three: Personal data that has been transferred prior to the termination of the contract pursuant to paragraph (c) shall at the choice of the data exporter immediately be returned to the data exporter or deleted in its entirety. The same shall apply to any copies of the data.] [For Module Four: Personal data collected by the data exporter in the EU that has been transferred prior to the termination of the contract pursuant to paragraph (c) shall immediately be deleted in its entirety, including any copy thereof.] The data importer shall certify the deletion of the data to the data exporter. Until the data is deleted or returned, the data importer shall continue to ensure compliance with these Clauses. In case of local laws applicable to the data importer that prohibit the return or deletion of the transferred personal data, the data importer warrants that it will continue to ensure compliance with these Clauses and will only process the data to the extent and for as long as required under that local law.	(d) [For Module One: Personal data that has been transferred prior to
	des Vertrags gemäß Buchstabe c übermittelt wurden, müssen nach Wahl des		the termination of the contract pursuant to paragraph (c) shall at the
	Datenexporteurs unverzüglich an diesen zurückgegeben oder vollständig		choice of the data exporter immediately be returned to the data exporter
	gelöscht werden. Dies gilt gleichermaßen für alle Kopien der Daten.] [In Bezug		or deleted in its entirety. The same shall apply to any copies of the data.]
	auf Modul zwei: Personenbezogene Daten, die vor Beendigung des Vertrags		[For Module Two: Personal data that has been transferred prior to the
	gemäß Buchstabe c übermittelt wurden, müssen nach Wahl des		termination of the contract pursuant to paragraph (c) shall at the choice
	Datenexporteurs unverzüglich an diesen zurückgegeben oder vollständig		of the data exporter immediately be returned to the data exporter or
	gelöscht werden. Dies gilt gleichermaßen für alle Kopien der Daten.] [In Bezug		deleted in its entirety. The same shall apply to any copies of the data.]
	auf Modul drei: Personenbezogene Daten, die vor Beendigung des Vertrags		[For Module Three: Personal data that has been transferred prior to the
	gemäß Buchstabe c übermittelt wurden, müssen nach Wahl des		termination of the contract pursuant to paragraph (c) shall at the choice
	Datenexporteurs unverzüglich an diesen zurückgegeben oder vollständig		of the data exporter immediately be returned to the data exporter or
	gelöscht werden. Dies gilt gleichermaßen für alle Kopien der Daten.] [In Bezug		deleted in its entirety. The same shall apply to any copies of the data.]
	auf Modul vier: Von dem in der EU ansässigen Datenexporteur erhobene		[For Module Four: Personal data collected by the data exporter in the
	personenbezogene Daten, die vor Beendigung des Vertrags gemäß		EU that has been transferred prior to the termination of the contract
	Buchstabe c übermittelt wurden, müssen unverzüglich vollständig gelöscht		pursuant to paragraph (c) shall immediately be deleted in its entirety,
	werden, einschließlich aller Kopien.] Der Datenimporteur bescheinigt dem		including any copy thereof.] The data importer shall certify the deletion
	Datenexporteur die Löschung. Bis zur Löschung oder Rückgabe der Daten		of the data to the data exporter. Until the data is deleted or returned, the
	stellt der Datenimporteur weiterhin die Einhaltung dieser Klauseln sicher.		data importer shall continue to ensure compliance with these Clauses.
	Falls für den Datenimporteur lokale Rechtsvorschriften gelten, die ihm die		In case of local laws applicable to the data importer that prohibit the
	Rückgabe oder Löschung der übermittelten personenbezogenen Daten		return or deletion of the transferred personal data, the data importer
	untersagen, sichert der Datenimporteur zu, dass er die Einhaltung dieser		warrants that it will continue to ensure compliance with these Clauses
	Klauseln auch weiterhin gewährleistet und diese Daten nur in dem Umfang		and will only process the data to the extent and for as long as required
	und so lange verarbeitet, wie dies gemäß den betreffenden lokalen		under that local law.
	Rechtsvorschriften erforderlich ist.
	e) Jede Partei kann ihre Zustimmung widerrufen, durch diese Klauseln		(e) Either Party may revoke its agreement to be bound by these Clauses
	gebunden zu sein, wenn i) die Europäische Kommission einen Beschluss		where (i) the European Commission adopts a decision pursuant to
	nach Artikel 45 Absatz 3 der Verordnung (EU) 2016/679 erlässt, der sich auf		Article 45(3) of Regulation (EU) 2016/679 that covers the transfer of
	die Übermittlung personenbezogener Daten bezieht, für die diese Klauseln		personal data to which these Clauses apply; or (ii) Regulation (EU)
	gelten, oder ii) die Verordnung (EU) 2016/679 Teil des Rechtsrahmens des		2016/679 becomes part of the legal framework of the country to which
	Landes wird, an das die personenbezogenen Daten übermittelt werden. Dies		the personal data is transferred. This is without prejudice to other
	gilt unbeschadet anderer Verpflichtungen, die für die betreffende		obligations applying to the processing in question under Regulation
	Verarbeitung gemäß der Verordnung (EU) 2016/679 gelten.		(EU) 2016/679.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 61 von 75

[Seite 62]

	Klausel 17		Clause 17
	Anwendbares Recht		Governing law
	MODUL EINS: Übermittlung von Verantwortlichen an Verantwortliche		MODULE ONE: Transfer controller to controller
Diese Klauseln unterliegen dem Recht eines der EU-Mitgliedstaaten, sofern dieses Recht Rechte als Drittbegünstigte zulässt. Die Parteien vereinbaren, dass dies das Recht von _______ (Mitgliedstaat angeben) ist.]	Diese Klauseln unterliegen dem Recht eines der EU-Mitgliedstaaten, sofern		These Clauses shall be governed by the law of one of the EU Member
	dieses Recht Rechte als Drittbegünstigte zulässt. Die Parteien vereinbaren,		States, provided such law allows for third-party beneficiary rights. The
	dass dies das Recht von _______ (Mitgliedstaat angeben) ist.]		Parties agree that this shall be the law of _______ (specify Member
			State).]
	MODUL ZWEI: Übermittlung von Verantwortlichen an	MODULE TWO: Transfer controller to processor	MODULE TWO: Transfer controller to processor
	Auftragsverarbeiter
	[OPTION 1: Diese Klauseln unterliegen dem Recht eines der EU-		[OPTION 1: These Clauses shall be governed by the law of one of the
	Mitgliedstaaten, sofern dieses Recht Rechte als Drittbegünstigte zulässt. Die		EU Member States, provided such law allows for third-party beneficiary
	Parteien vereinbaren, dass dies das Recht von _______ (Mitgliedstaat		rights. The Parties agree that this shall be the law of _______ (specify
	angeben) ist.]		Member State).]
	[OPTION 2: Diese Klauseln unterliegen dem Recht des EU-Mitgliedstaats, in		[OPTION 2: These Clauses shall be governed by the law of the EU
	dem der Datenexporteur niedergelassen ist. Wenn dieses Recht keine Rechte		Member State in which the data exporter is established. Where such
	als Drittbegünstigte zulässt, unterliegen diese Klauseln dem Recht eines		law does not allow for third-party beneficiary rights, they shall be
	anderen EU-Mitgliedstaats, das Rechte als Drittbegünstigte zulässt. Die		governed by the law of another EU Member State that does allow for
	Parteien vereinbaren, dass dies das Recht von _______ (Mitgliedstaat		third-party beneficiary rights. The Parties agree that this shall be the law
	angeben) ist.]		of _______ (specify Member State).]
	MODUL DREI: Übermittlung von Auftragsverarbeitern an	MODULE THREE: Transfer processor to processor	MODULE THREE: Transfer processor to processor
	Auftragsverarbeiter
	[OPTION 1: Diese Klauseln unterliegen dem Recht eines der EU-		[OPTION 1: These Clauses shall be governed by the law of one of the
	Mitgliedstaaten, sofern dieses Recht Rechte als Drittbegünstigte zulässt. Die		EU Member States, provided such law allows for third-party beneficiary
	Parteien vereinbaren, dass dies das Recht von _______ (Mitgliedstaat		rights. The Parties agree that this shall be the law of _______ (specify
	angeben) ist.]		Member State).]
	[OPTION 2: Diese Klauseln unterliegen dem Recht des EU-Mitgliedstaats, in		[OPTION 2: These Clauses shall be governed by the law of the EU
	dem der Datenexporteur niedergelassen ist. Wenn dieses Recht keine Rechte		Member State in which the data exporter is established. Where such
	als Drittbegünstigte zulässt, unterliegen diese Klauseln dem Recht eines		law does not allow for third-party beneficiary rights, they shall be
	anderen EU-Mitgliedstaats, das Rechte als Drittbegünstigte zulässt. Die		governed by the law of another EU Member State that does allow for

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 62 von 75

[Seite 63]

Parteien vereinbaren, dass dies das Recht von _______ (Mitgliedstaat		third-party beneficiary rights. The Parties agree that this shall be the law
angeben) ist.]		of _______ (specify Member State).]
MODUL VIER: Übermittlung von Auftragsverarbeitern an	MODULE FOUR: Transfer processor to controller	MODULE FOUR: Transfer processor to controller
Verantwortliche
Diese Klauseln unterliegen dem Recht eines Landes, das Rechte als		These Clauses shall be governed by the law of a country allowing for
Drittbegünstigte zulässt. Die Parteien vereinbaren, dass dies das Recht von		third-party beneficiary rights. The Parties agree that this shall be the law
_______ (Land angeben) ist.		of _______ (specify country).
Klausel 18		Clause 18
Gerichtsstand und Zuständigkeit		Choice of forum and jurisdiction
MODUL EINS: Übermittlung von Verantwortlichen an Verantwortliche		MODULE ONE: Transfer controller to controller
a) Streitigkeiten, die sich aus diesen Klauseln ergeben, werden von den		(a) Any dispute arising from these Clauses shall be resolved by the
Gerichten eines EU-Mitgliedstaats beigelegt.		courts of an EU Member State.
b) Die Parteien vereinbaren, dass dies die Gerichte von _____ (Mitgliedstaat		(b) The Parties agree that those shall be the courts of _____ (specify
angeben) sind.		Member State).
c) Eine betroffene Person kann Klage gegen den Datenexporteur und/oder		(c) A data subject may also bring legal proceedings against the data
den Datenimporteur auch vor den Gerichten des Mitgliedstaats erheben, in		exporter and/or data importer before the courts of the Member State in
dem sie ihren gewöhnlichen Aufenthaltsort hat.		which he/she has his/her habitual residence.
d) Die Parteien erklären sich damit einverstanden, sich der Zuständigkeit		(d) The Parties agree to submit themselves to the jurisdiction of such
dieser Gerichte zu unterwerfen.		courts.
MODUL ZWEI: Übermittlung von Verantwortlichen an	MODULE TWO: Transfer controller to processor	MODULE TWO: Transfer controller to processor
Auftragsverarbeiter
a) Streitigkeiten, die sich aus diesen Klauseln ergeben, werden von den		(a) Any dispute arising from these Clauses shall be resolved by the
Gerichten eines EU-Mitgliedstaats beigelegt.		courts of an EU Member State.
b) Die Parteien vereinbaren, dass dies die Gerichte von _____ (Mitgliedstaat		(b) The Parties agree that those shall be the courts of _____ (specify
angeben) sind.		Member State).

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 63 von 75

[Seite 64]

c) Eine betroffene Person kann Klage gegen den Datenexporteur und/oder		(c) A data subject may also bring legal proceedings against the data
den Datenimporteur auch vor den Gerichten des Mitgliedstaats erheben, in		exporter and/or data importer before the courts of the Member State in
dem sie ihren gewöhnlichen Aufenthaltsort hat.		which he/she has his/her habitual residence.
d) Die Parteien erklären sich damit einverstanden, sich der Zuständigkeit		(d) The Parties agree to submit themselves to the jurisdiction of such
dieser Gerichte zu unterwerfen.		courts.
MODUL DREI: Übermittlung von Auftragsverarbeitern an	MODULE THREE: Transfer processor to processor	MODULE THREE: Transfer processor to processor
Auftragsverarbeiter
a) Streitigkeiten, die sich aus diesen Klauseln ergeben, werden von den		(a) Any dispute arising from these Clauses shall be resolved by the
Gerichten eines EU-Mitgliedstaats beigelegt.		courts of an EU Member State.
b) Die Parteien vereinbaren, dass dies die Gerichte von _____ (Mitgliedstaat		(b) The Parties agree that those shall be the courts of _____ (specify
angeben) sind.		Member State).
c) Eine betroffene Person kann Klage gegen den Datenexporteur und/oder		(c) A data subject may also bring legal proceedings against the data
den Datenimporteur auch vor den Gerichten des Mitgliedstaats erheben, in		exporter and/or data importer before the courts of the Member State in
dem sie ihren gewöhnlichen Aufenthaltsort hat.		which he/she has his/her habitual residence.
d) Die Parteien erklären sich damit einverstanden, sich der Zuständigkeit		(d) The Parties agree to submit themselves to the jurisdiction of such
dieser Gerichte zu unterwerfen.		courts.
MODUL VIER: Übermittlung von Auftragsverarbeitern an	MODULE FOUR: Transfer processor to controller	MODULE FOUR: Transfer processor to controller
Verantwortliche
Streitigkeiten, die sich aus diesen Klauseln ergeben, werden von den		Any dispute arising from these Clauses shall be resolved by the courts
Gerichten von _____ (Land angeben) beigelegt.		of _____ (specify country).

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 64 von 75

[Seite 65]

ANLAGE		APPENDIX
ERLÄUTERUNG:		EXPLANATORY NOTE:
Es muss möglich sein, die für jede Datenübermittlung oder jede Kategorie von	It must be possible to clearly distinguish the information applicable to each transfer or category of transfers and, in this regard, to determine the respective role(s) of the Parties as data exporter(s) and/or data importer(s). This does not necessarily require completing and signing separate appendices for each transfer/category of transfers and/or contractual relationship, where this transparency can achieved through one appendix. However, where necessary to ensure sufficient clarity, separate appendices should be used.	It must be possible to clearly distinguish the information applicable to each
Datenübermittlungen geltenden Informationen klar voneinander zu		transfer or category of transfers and, in this regard, to determine the respective
unterscheiden und in diesem Zusammenhang die jeweilige(n) Rolle(n) der		role(s) of the Parties as data exporter(s) and/or data importer(s). This does not
Parteien als Datenexporteur(e) und/oder Datenimporteur(e) zu bestimmen.		necessarily require completing and signing separate appendices for each
Dies erfordert nicht zwingend, dass für jede Datenübermittlung bzw. jede		transfer/category of transfers and/or contractual relationship, where this
Kategorie von Datenübermittlungen und/oder für jedes Vertragsverhältnis		transparency can achieved through one appendix. However, where necessary
getrennte Anlagen ausgefüllt und unterzeichnet werden müssen, sofern die		to ensure sufficient clarity, separate appendices should be used.
geforderte Transparenz bei Verwendung einer einzigen Anlage erzielt werden
kann. Erforderlichenfalls sollten getrennte Anlagen verwendet werden, um
ausreichende Klarheit zu gewährleisten.
ANHANG I		ANNEX I
A. LISTE DER PARTEIEN		A. LIST OF PARTIES
Datenexporteur(e): [Name und Kontaktdaten des Datenexporteurs/der		Data exporter(s): [Identity and contact details of the data exporter(s) and, where
Datenexporteure und gegebenenfalls seines/ihres Datenschutzbeauftragten		applicable, of its/their data protection officer and/or representative in the
und/oder Vertreters in der Europäischen Union]		European Union]
1.	1. Name: … Address: … Contact person’s name, position and contact details: … Activities relevant to the data transferred under these Clauses: … Signature and date: … Role (controller/processor): …	1.
Name: …		Name: …
Anschrift: …		Address: …
Name, Funktion und Kontaktdaten der Kontaktperson: …		Contact person’s name, position and contact details: …
Tätigkeiten, die für die gemäß diesen Klauseln übermittelten Daten von Belang		Activities relevant to the data transferred under these Clauses: …
sind: …
		Signature and date: …
Unterschrift und Datum: …
		Role (controller/processor): …
Rolle (Verantwortlicher/Auftragsverarbeiter): …
2. …		2. …

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 65 von 75

[Seite 66]

Datenimporteur(e): [Name und Kontaktdaten des Datenexporteurs/der	Data importer(s): [Identity and contact details of the data importer(s), including any contact person with responsibility for data protection]	Data importer(s): [Identity and contact details of the data importer(s), including
Datenimporteure, einschließlich jeder für den Datenschutz zuständigen		any contact person with responsibility for data protection]
Kontaktperson]
1.	1. Name: … Address: … Contact person’s name, position and contact details: … Activities relevant to the data transferred under these Clauses: … Signature and date: … Role (controller/processor): …	1.
Name: …		Name: …
Anschrift: …		Address: …
Name, Funktion und Kontaktdaten der Kontaktperson: …		Contact person’s name, position and contact details: …
Tätigkeiten, die für die gemäß diesen Klauseln übermittelten Daten von Belang		Activities relevant to the data transferred under these Clauses: …
sind: …
		Signature and date: …
Unterschrift und Datum: …
		Role (controller/processor): …
Rolle (Verantwortlicher/Auftragsverarbeiter): …
2. …		2. …
B. BESCHREIBUNG DER DATENÜBERMITTLUNG		B. DESCRIPTION OF TRANSFER
Kategorien betroffener Personen, deren personenbezogene Daten übermittelt	Categories of data subjects whose personal data is transferred	Categories of data subjects whose personal data is transferred
werden
…		…
Kategorien der übermittelten personenbezogenen Daten		Categories of personal data transferred
…		…
Übermittelte sensible Daten (falls zutreffend) und angewandte	Sensitive data transferred (if applicable) and applied restrictions or safeguards that fully take into consideration the nature of the data and the risks involved, such as for instance strict purpose limitation, access restrictions (including access only for staff having followed specialised training), keeping a record of access to the data, restrictions for onward transfers or additional security measures.	Sensitive data transferred (if applicable) and applied restrictions or safeguards
Beschränkungen oder Garantien, die der Art der Daten und den verbundenen		that fully take into consideration the nature of the data and the risks involved,
Risiken in vollem Umfang Rechnung tragen, z. B. strenge Zweckbindung,		such as for instance strict purpose limitation, access restrictions (including
Zugangsbeschränkungen (einschließlich des Zugangs nur für Mitarbeiter, die		access only for staff having followed specialised training), keeping a record of
eine spezielle Schulung absolviert haben), Aufzeichnungen über den Zugang		access to the data, restrictions for onward transfers or additional security
zu den Daten, Beschränkungen für Weiterübermittlungen oder zusätzliche		measures.
Sicherheitsmaßnahmen
…		…

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 66 von 75

[Seite 67]

Häufigkeit der Übermittlung (z. B. ob die Daten einmalig oder kontinuierlich		The frequency of the transfer (e.g. whether the data is transferred on a one-off
übermittelt werden)		or continuous basis).
…		…
Art der Verarbeitung		Nature of the processing
…		…
Zweck(e) der Datenübermittlung und Weiterverarbeitung		Purpose(s) of the data transfer and further processing
…		…
Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls		The period for which the personal data will be retained, or, if that is not possible,
dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer		the criteria used to determine that period
…		…
Bei Datenübermittlungen an (Unter-)Auftragsverarbeiter sind auch		For transfers to (sub-) processors, also specify subject matter, nature and
Gegenstand, Art und Dauer der Verarbeitung anzugeben.		duration of the processing
…		…
C. ZUSTÄNDIGE AUFSICHTSBEHÖRDE		C. COMPETENT SUPERVISORY AUTHORITY
MODUL EINS: Übermittlung von Verantwortlichen an Verantwortliche		MODULE ONE: Transfer controller to controller
Angabe der zuständigen Aufsichtsbehörde(n) gemäß Klausel 13		Identify the competent supervisory authority/ies in accordance with Clause 13
…		…
MODUL ZWEI: Übermittlung von Verantwortlichen an Auftragsverarbeiter		MODULE TWO: Transfer controller to processor
Angabe der zuständigen Aufsichtsbehörde(n) gemäß Klausel 13		Identify the competent supervisory authority/ies in accordance with Clause 13
…		…
MODUL DREI: Übermittlung von Auftragsverarbeitern an	MODULE THREE: Transfer processor to processor	MODULE THREE: Transfer processor to processor
Auftragsverarbeiter
Angabe der zuständigen Aufsichtsbehörde(n) gemäß Klausel 13		Identify the competent supervisory authority/ies in accordance with Clause 13

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 67 von 75

[Seite 68]

…		…
ANHANG II		ANNEX II
TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN,	TECHNICAL AND ORGANISATIONAL MEASURES INCLUDING TECHNICAL AND ORGANISATIONAL MEASURES TO ENSURE THE SECURITY OF THE DATA
EINSCHLIESSLICH ZUR GEWÄHRLEISTUNG DER SICHERHEIT DER
DATEN
MODUL EINS: Übermittlung von Verantwortlichen an Verantwortliche		MODULE ONE: Transfer controller to controller
ERLÄUTERUNG:		EXPLANATORY NOTE:
Die technischen und organisatorischen Maßnahmen müssen konkret (nicht	The technical and organisational measures must be described in specific (and not generic) terms. See also the general comment on the first page of the Appendix, in particular on the need to clearly indicate which measures apply to each transfer/set of transfers.	The technical and organisational measures must be described in specific (and
allgemein) beschrieben werden. Beachten Sie hierzu bitte auch die allgemeine		not generic) terms. See also the general comment on the first page of the
Erläuterung auf der ersten Seite der Anlage; insbesondere ist klar anzugeben,		Appendix, in particular on the need to clearly indicate which measures apply to
welche Maßnahmen für jede Datenübermittlung bzw. jede Kategorie von		each transfer/set of transfers.
Datenübermittlungen gelten.
Beschreibung der von dem/den Datenimporteur(en) ergriffenen technischen	Description of the technical and organisational measures implemented by the data importer(s) (including any relevant certifications) to ensure an appropriate level of security, taking into account the nature, scope, context and purpose of the processing, and the risks for the rights and freedoms of natural persons.	Description of the technical and organisational measures implemented by the
und organisatorischen Maßnahmen (einschließlich aller relevanten		data importer(s) (including any relevant certifications) to ensure an appropriate
Zertifizierungen) zur Gewährleistung eines angemessenen Schutzniveaus		level of security, taking into account the nature, scope, context and purpose of
unter Berücksichtigung der Art, des Umfangs, der Umstände und des Zwecks		the processing, and the risks for the rights and freedoms of natural persons.
der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher
Personen
[Beispiele für mögliche Maßnahmen:		[Examples of possible measures:
Maßnahmen der Pseudonymisierung und Verschlüsselung	Measures of pseudonymisation and encryption of personal data	Measures of pseudonymisation and encryption of personal data
personenbezogener Daten
Maßnahmen zur fortdauernden Sicherstellung der Vertraulichkeit, Integrität,	Measures for ensuring ongoing confidentiality, integrity, availability and resilience of processing systems and services	Measures for ensuring ongoing confidentiality, integrity, availability and
Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang		resilience of processing systems and services
mit der Verarbeitung
Maßnahmen zur Sicherstellung der Fähigkeit, die Verfügbarkeit der	Measures for ensuring the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident	Measures for ensuring the ability to restore the availability and access to
personenbezogenen Daten und den Zugang zu ihnen bei einem physischen		personal data in a timely manner in the event of a physical or technical incident
oder technischen Zwischenfall rasch wiederherzustellen

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 68 von 75

[Seite 69]

	Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der		Processes for regularly testing, assessing and evaluating the effectiveness of
	Wirksamkeit der technischen und organisatorischen Maßnahmen zur		technical and organisational measures in order to ensure the security of the
	Gewährleistung der Sicherheit der Verarbeitung		processing
	Maßnahmen zur Identifizierung und Autorisierung der Nutzer		Measures for user identification and authorisation
	Maßnahmen zum Schutz der Daten während der Übermittlung		Measures for the protection of data during transmission
	Maßnahmen zum Schutz der Daten während der Speicherung		Measures for the protection of data during storage
	Maßnahmen zur Gewährleistung der physischen Sicherheit von Orten, an		Measures for ensuring physical security of locations at which personal data are
	denen personenbezogene Daten verarbeitet werden		processed
	Maßnahmen zur Gewährleistung der Protokollierung von Ereignissen		Measures for ensuring events logging
	Maßnahmen zur Gewährleistung der Systemkonfiguration, einschließlich der	Measures for ensuring system configuration, including default configuration	Measures for ensuring system configuration, including default configuration
	Standardkonfiguration
	Maßnahmen für die interne Governance und Verwaltung der IT und der IT-	Measures for internal IT and IT security governance and management	Measures for internal IT and IT security governance and management
	Sicherheit
	Maßnahmen zur Zertifizierung/Qualitätssicherung von Prozessen und	Measures for certification/assurance of processes and products	Measures for certification/assurance of processes and products
	Produkten
	Maßnahmen zur Gewährleistung der Datenminimierung		Measures for ensuring data minimisation
	Maßnahmen zur Gewährleistung der Datenqualität		Measures for ensuring data quality
	Maßnahmen zur Gewährleistung einer begrenzten Vorratsdatenspeicherung		Measures for ensuring limited data retention
	Maßnahmen zur Gewährleistung der Rechenschaftspflicht		Measures for ensuring accountability
	Maßnahmen zur Ermöglichung der Datenübertragbarkeit und zur	Measures for allowing data portability and ensuring erasure]	Measures for allowing data portability and ensuring erasure]
	Gewährleistung der Löschung
Bei Datenübermittlungen an (Unter-)Auftragsverarbeiter sind auch die spezifischen technischen und organisatorischen Maßnahmen zu beschreiben, die der (Unter-)Auftragsverarbeiter zur Unterstützung des Verantwortlichen und (bei Datenübermittlungen von einem Auftragsverarbeiter an einen			For transfers to (sub-) processors, also describe the specific technical and
			organisational measures to be taken by the (sub-) processor to be able to
			provide assistance to the controller and, for transfers from a processor to a sub-
			processor, to the data exporter

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 69 von 75

[Seite 70]

Unterauftragsverarbeiter) zur Unterstützung des Datenexporteurs ergreifen
muss.
MODUL ZWEI: Übermittlung von Verantwortlichen an	MODULE TWO: Transfer controller to processor
Auftragsverarbeiter
ERLÄUTERUNG:		EXPLANATORY NOTE:
Die technischen und organisatorischen Maßnahmen müssen konkret (nicht	The technical and organisational measures must be described in specific (and not generic) terms. See also the general comment on the first page of the Appendix, in particular on the need to clearly indicate which measures apply to each transfer/set of transfers.	The technical and organisational measures must be described in specific (and
allgemein) beschrieben werden. Beachten Sie hierzu bitte auch die allgemeine		not generic) terms. See also the general comment on the first page of the
Erläuterung auf der ersten Seite der Anlage; insbesondere ist klar anzugeben,		Appendix, in particular on the need to clearly indicate which measures apply to
welche Maßnahmen für jede Datenübermittlung bzw. jede Kategorie von		each transfer/set of transfers.
Datenübermittlungen gelten.
Beschreibung der von dem/den Datenimporteur(en) ergriffenen technischen	Description of the technical and organisational measures implemented by the data importer(s) (including any relevant certifications) to ensure an appropriate level of security, taking into account the nature, scope, context and purpose of the processing, and the risks for the rights and freedoms of natural persons.	Description of the technical and organisational measures implemented by the
und organisatorischen Maßnahmen (einschließlich aller relevanten		data importer(s) (including any relevant certifications) to ensure an appropriate
Zertifizierungen) zur Gewährleistung eines angemessenen Schutzniveaus		level of security, taking into account the nature, scope, context and purpose of
unter Berücksichtigung der Art, des Umfangs, der Umstände und des Zwecks		the processing, and the risks for the rights and freedoms of natural persons.
der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher
Personen
[Beispiele für mögliche Maßnahmen:		[Examples of possible measures:
Maßnahmen der Pseudonymisierung und Verschlüsselung	Measures of pseudonymisation and encryption of personal data	Measures of pseudonymisation and encryption of personal data
personenbezogener Daten
Maßnahmen zur fortdauernden Sicherstellung der Vertraulichkeit, Integrität,	Measures for ensuring ongoing confidentiality, integrity, availability and resilience of processing systems and services	Measures for ensuring ongoing confidentiality, integrity, availability and
Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang		resilience of processing systems and services
mit der Verarbeitung
Maßnahmen zur Sicherstellung der Fähigkeit, die Verfügbarkeit der	Measures for ensuring the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident	Measures for ensuring the ability to restore the availability and access to
personenbezogenen Daten und den Zugang zu ihnen bei einem physischen		personal data in a timely manner in the event of a physical or technical incident
oder technischen Zwischenfall rasch wiederherzustellen
Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der		Processes for regularly testing, assessing and evaluating the effectiveness of
Wirksamkeit der technischen und organisatorischen Maßnahmen zur		technical and organisational measures in order to ensure the security of the
Gewährleistung der Sicherheit der Verarbeitung		processing
Maßnahmen zur Identifizierung und Autorisierung der Nutzer		Measures for user identification and authorisation

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 70 von 75

[Seite 71]

Maßnahmen zum Schutz der Daten während der Übermittlung		Measures for the protection of data during transmission
Maßnahmen zum Schutz der Daten während der Speicherung		Measures for the protection of data during storage
Maßnahmen zur Gewährleistung der physischen Sicherheit von Orten, an		Measures for ensuring physical security of locations at which personal data are
denen personenbezogene Daten verarbeitet werden		processed
Maßnahmen zur Gewährleistung der Protokollierung von Ereignissen		Measures for ensuring events logging
Maßnahmen zur Gewährleistung der Systemkonfiguration, einschließlich der	Measures for ensuring system configuration, including default configuration	Measures for ensuring system configuration, including default configuration
Standardkonfiguration
Maßnahmen für die interne Governance und Verwaltung der IT und der IT-	Measures for internal IT and IT security governance and management	Measures for internal IT and IT security governance and management
Sicherheit
Maßnahmen zur Zertifizierung/Qualitätssicherung von Prozessen und	Measures for certification/assurance of processes and products	Measures for certification/assurance of processes and products
Produkten
Maßnahmen zur Gewährleistung der Datenminimierung		Measures for ensuring data minimisation
Maßnahmen zur Gewährleistung der Datenqualität		Measures for ensuring data quality
Maßnahmen zur Gewährleistung einer begrenzten Vorratsdatenspeicherung		Measures for ensuring limited data retention
Maßnahmen zur Gewährleistung der Rechenschaftspflicht		Measures for ensuring accountability
Maßnahmen zur Ermöglichung der Datenübertragbarkeit und zur	Measures for allowing data portability and ensuring erasure]	Measures for allowing data portability and ensuring erasure]
Gewährleistung der Löschung
Bei Datenübermittlungen an (Unter-)Auftragsverarbeiter sind auch die	For transfers to (sub-) processors, also describe the specific technical and organisational measures to be taken by the (sub-) processor to be able to provide assistance to the controller and, for transfers from a processor to a sub- processor, to the data exporter	For transfers to (sub-) processors, also describe the specific technical and
spezifischen technischen und organisatorischen Maßnahmen zu beschreiben,		organisational measures to be taken by the (sub-) processor to be able to
die der (Unter-)Auftragsverarbeiter zur Unterstützung des Verantwortlichen und		provide assistance to the controller and, for transfers from a processor to a sub-
(bei Datenübermittlungen von einem Auftragsverarbeiter an einen		processor, to the data exporter
Unterauftragsverarbeiter) zur Unterstützung des Datenexporteurs ergreifen
muss.
MODUL DREI: Übermittlung von Auftragsverarbeitern an	MODULE THREE: Transfer processor to processor
Auftragsverarbeiter
ERLÄUTERUNG:		EXPLANATORY NOTE:

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 71 von 75

[Seite 72]

Die technischen und organisatorischen Maßnahmen müssen konkret (nicht	The technical and organisational measures must be described in specific (and not generic) terms. See also the general comment on the first page of the Appendix, in particular on the need to clearly indicate which measures apply to each transfer/set of transfers.	The technical and organisational measures must be described in specific (and
allgemein) beschrieben werden. Beachten Sie hierzu bitte auch die allgemeine		not generic) terms. See also the general comment on the first page of the
Erläuterung auf der ersten Seite der Anlage; insbesondere ist klar anzugeben,		Appendix, in particular on the need to clearly indicate which measures apply to
welche Maßnahmen für jede Datenübermittlung bzw. jede Kategorie von		each transfer/set of transfers.
Datenübermittlungen gelten.
Beschreibung der von dem/den Datenimporteur(en) ergriffenen technischen	Description of the technical and organisational measures implemented by the data importer(s) (including any relevant certifications) to ensure an appropriate level of security, taking into account the nature, scope, context and purpose of the processing, and the risks for the rights and freedoms of natural persons.	Description of the technical and organisational measures implemented by the
und organisatorischen Maßnahmen (einschließlich aller relevanten		data importer(s) (including any relevant certifications) to ensure an appropriate
Zertifizierungen) zur Gewährleistung eines angemessenen Schutzniveaus		level of security, taking into account the nature, scope, context and purpose of
unter Berücksichtigung der Art, des Umfangs, der Umstände und des Zwecks		the processing, and the risks for the rights and freedoms of natural persons.
der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher
Personen
[Beispiele für mögliche Maßnahmen:		[Examples of possible measures:
Maßnahmen der Pseudonymisierung und Verschlüsselung	Measures of pseudonymisation and encryption of personal data	Measures of pseudonymisation and encryption of personal data
personenbezogener Daten
Maßnahmen zur fortdauernden Sicherstellung der Vertraulichkeit, Integrität,	Measures for ensuring ongoing confidentiality, integrity, availability and resilience of processing systems and services	Measures for ensuring ongoing confidentiality, integrity, availability and
Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang		resilience of processing systems and services
mit der Verarbeitung
Maßnahmen zur Sicherstellung der Fähigkeit, die Verfügbarkeit der	Measures for ensuring the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident	Measures for ensuring the ability to restore the availability and access to
personenbezogenen Daten und den Zugang zu ihnen bei einem physischen		personal data in a timely manner in the event of a physical or technical incident
oder technischen Zwischenfall rasch wiederherzustellen
Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der		Processes for regularly testing, assessing and evaluating the effectiveness of
Wirksamkeit der technischen und organisatorischen Maßnahmen zur		technical and organisational measures in order to ensure the security of the
Gewährleistung der Sicherheit der Verarbeitung		processing
Maßnahmen zur Identifizierung und Autorisierung der Nutzer		Measures for user identification and authorisation
Maßnahmen zum Schutz der Daten während der Übermittlung		Measures for the protection of data during transmission
Maßnahmen zum Schutz der Daten während der Speicherung		Measures for the protection of data during storage
Maßnahmen zur Gewährleistung der physischen Sicherheit von Orten, an		Measures for ensuring physical security of locations at which personal data are
denen personenbezogene Daten verarbeitet werden		processed
Maßnahmen zur Gewährleistung der Protokollierung von Ereignissen		Measures for ensuring events logging

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 72 von 75

[Seite 73]

Maßnahmen zur Gewährleistung der Systemkonfiguration, einschließlich der	Measures for ensuring system configuration, including default configuration	Measures for ensuring system configuration, including default configuration
Standardkonfiguration
Maßnahmen für die interne Governance und Verwaltung der IT und der IT-	Measures for internal IT and IT security governance and management	Measures for internal IT and IT security governance and management
Sicherheit
Maßnahmen zur Zertifizierung/Qualitätssicherung von Prozessen und	Measures for certification/assurance of processes and products	Measures for certification/assurance of processes and products
Produkten
Maßnahmen zur Gewährleistung der Datenminimierung		Measures for ensuring data minimisation
Maßnahmen zur Gewährleistung der Datenqualität		Measures for ensuring data quality
Maßnahmen zur Gewährleistung einer begrenzten Vorratsdatenspeicherung		Measures for ensuring limited data retention
Maßnahmen zur Gewährleistung der Rechenschaftspflicht		Measures for ensuring accountability
Maßnahmen zur Ermöglichung der Datenübertragbarkeit und zur	Measures for allowing data portability and ensuring erasure]	Measures for allowing data portability and ensuring erasure]
Gewährleistung der Löschung
Bei Datenübermittlungen an (Unter-)Auftragsverarbeiter sind auch die	For transfers to (sub-) processors, also describe the specific technical and organisational measures to be taken by the (sub-) processor to be able to provide assistance to the controller and, for transfers from a processor to a sub- processor, to the data exporter	For transfers to (sub-) processors, also describe the specific technical and
spezifischen technischen und organisatorischen Maßnahmen zu beschreiben,		organisational measures to be taken by the (sub-) processor to be able to
die der (Unter-)Auftragsverarbeiter zur Unterstützung des Verantwortlichen und		provide assistance to the controller and, for transfers from a processor to a sub-
(bei Datenübermittlungen von einem Auftragsverarbeiter an einen		processor, to the data exporter
Unterauftragsverarbeiter) zur Unterstützung des Datenexporteurs ergreifen
muss.

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 73 von 75

[Seite 74]

	ANNEX III
ANHANG III
LISTE DER UNTERAUFTRAGSVERARBEITER		LIST OF SUB-PROCESSORS
MODUL ZWEI: Übermittlung von Verantwortlichen an	MODULE TWO: Transfer controller to processor
Auftragsverarbeiter
ERLÄUTERUNG:		EXPLANATORY NOTE:
Dieser Anhang muss für die Module zwei und drei im Falle einer gesonderten	This Annex must be completed for Modules Two and Three, in case of the specific authorisation of sub-processors (Clause 9(a), Option 1).
Genehmigung von Unterauftragsverarbeitern ausgefüllt werden (Klausel 9
Buchstabe a, Option 1).
Der Verantwortliche hat die Inanspruchnahme folgender	The controller has authorised the use of the following sub-processors:
Unterauftragsverarbeiter genehmigt:
1.	1. Name: … Address: … Contact person’s name, position and contact details: … Description of processing (including a clear delimitation of responsibilities in case several sub-processors are authorised): …
Name: …
Anschrift: …
Name, Funktion und Kontaktdaten der Kontaktperson: …
Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der
Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt
werden): …
2. …		2. …
MODUL DREI: Übermittlung von Auftragsverarbeitern an	MODULE THREE: Transfer processor to processor
Auftragsverarbeiter
ERLÄUTERUNG:		EXPLANATORY NOTE:
Dieser Anhang muss für die Module zwei und drei im Falle einer gesonderten	This Annex must be completed for Modules Two and Three, in case of the specific authorisation of sub-processors (Clause 9(a), Option 1).
Genehmigung von Unterauftragsverarbeitern ausgefüllt werden (Klausel 9
Buchstabe a, Option 1).

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 74 von 75

[Seite 75]

Der Verantwortliche hat die Inanspruchnahme folgender	The controller has authorised the use of the following sub-processors:
Unterauftragsverarbeiter genehmigt:
1.	1. Name: … Address: … Contact person’s name, position and contact details: … Description of processing (including a clear delimitation of responsibilities in case several sub-processors are authorised): …
Name: …
Anschrift: …
Name, Funktion und Kontaktdaten der Kontaktperson: …
Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der
Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt
werden): …
2. …		2. …

Standarddatenschutzklauseln (Komplettversion: Modul 1 bis 4) Seite 75 von 75

D) Standartvertragsklauseln_DE-EN.pdf