Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag (der „AVV“) ist Bestandteil des Vertrags zwischen dem Kunden und dem in dem jeweiligen Bestellformular genannten Coverflex-Vertragspartner.

Dieser AVV gilt automatisch, ohne dass eine gesonderte Unterzeichnung erforderlich ist, sobald der Kunde ein Bestellformular abschließt oder akzeptiert oder anderweitig die Allgemeinen Geschäftsbedingungen gemäß deren Bestimmungen akzeptiert. Unterzeichnen die Vertragsparteien eine eigenständige Ausfertigung dieses AVV, so enthält diese Ausfertigung dieselben Verpflichtungen und begründet keinen gesonderten kommerziellen Vertrag, sofern nicht ausdrücklich anders angegeben.

Die Vertragsparteien vereinbaren Folgendes.

1. Begriffsbestimmungen und Auslegung

1.1. Begriffsbestimmungen

1.1.1. Großgeschriebene Begriffe, die in dieser AVV verwendet, aber nicht definiert werden, haben die ihnen in den Allgemeinen Geschäftsbedingungen zugewiesene Bedeutung.

1.1.2. In dieser AVV:

• 1.1.2.1. bezeichnet „anwendbares Datenschutzrecht“ alle Gesetze und verbindlichen regulatorischen Anforderungen, die für die Verarbeitung personenbezogener Kundendaten im Rahmen des Vertrags gelten, einschließlich, soweit anwendbar, der Verordnung (EU) 2016/679 (die „DSGVO“), der Gesetze zur Umsetzung oder Ergänzung der DSGVO im jeweiligen EWR-Mitgliedstaat sowie aller Nachfolge- oder Ersatzvorschriften.
• 1.1.2.2. „Verantwortlicher“, „betroffene Person“, „personenbezogene Daten“, „Verletzung des Schutzes personenbezogener Daten“, „Verarbeitung“ und „Auftragsverarbeiter“ haben die ihnen im anwendbaren Datenschutzrecht zugewiesenen Bedeutungen. „verarbeiten“, „verarbeitet“ und „verarbeitet werden“ sind entsprechend auszulegen.
• 1.1.2.3. „Personenbezogene Daten des Kunden“ bezeichnet personenbezogene Daten, die von Coverflex als Auftragsverarbeiter im Auftrag des Kunden oder eines teilnehmenden Kunden im Rahmen des Vertrags verarbeitet werden. Ausgenommen sind personenbezogene Daten, für die Coverflex oder eine andere Person als unabhängiger Verantwortlicher auftritt.
• 1.1.2.4. „EWR“ bezeichnet den Europäischen Wirtschaftsraum.
• 1.1.2.5. „Eingeschränkte Übermittlung“ bezeichnet eine Übermittlung personenbezogener Daten, die nach dem geltenden Datenschutzrecht ohne einen genehmigten Übermittlungsmechanismus oder andere gesetzlich anerkannte Schutzmaßnahmen verboten wäre.
• 1.1.2.6. „Unterauftragsverarbeiter“ bezeichnet einen Dritten, der von Coverflex oder einem anderen Unterauftragsverarbeiter beauftragt wurde, personenbezogene Daten des Kunden im Auftrag des Kunden im Zusammenhang mit den Diensten zu verarbeiten.
• 1.1.2.7. „Aufsichtsbehörde“ bezeichnet eine unabhängige öffentliche Behörde, die nach dem geltenden Datenschutzrecht eingerichtet oder anerkannt ist.
• 1.1.2.8. „Technische und organisatorische Maßnahmen“ oder „TOM“ bezeichnet die in Anhang 2 beschriebenen Sicherheitsmaßnahmen, die gemäß dieser AVV aktualisiert wurden.

1.2. Auslegung

1.2.1. Verweise auf den Kunden beziehen sich nur dann auf einen teilnehmenden Kunden, wenn es sich um personenbezogene Daten des Kunden handelt, für die dieser teilnehmende Kunde der Verantwortliche ist.

1.2.2. Bezieht sich eine Bestimmung dieser AVV auf eine gesetzliche Anforderung, so umfasst sie auch alle anwendbaren Änderungen, Ersetzungen oder Nachfolgeanforderungen.

1.2.3. Überschriften dienen lediglich der Übersichtlichkeit und haben keinen Einfluss auf die Auslegung.

‍

2. Geltungsbereich, Anwendung und vertragliche Hierarchie

2.1. Geltungsbereich

2.1.1. Dieser AVV gilt nur insoweit, als Coverflex im Rahmen der Erbringung der Dienste als Auftragsverarbeiter im Auftrag des Kunden Personenbezogene Daten des Kunden verarbeitet.

2.1.2. Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien der personenbezogenen Kundendaten sowie die Kategorien der betroffenen Personen sind in Anhang 1 beschrieben und können durch das jeweilige Bestellformular, die Konfiguration der Dienste durch den Kunden und dessen dokumentierte Anweisungen näher spezifiziert werden.

2.1.3. Jeder teilnehmende Kunde ist Verantwortlicher in Bezug auf die von ihm kontrollierten personenbezogenen Kundendaten. Der Kunde ist berechtigt, im Namen der teilnehmenden Kunden Anweisungen zu erteilen und Rechte gemäß dieser AVV auszuüben, sofern ein geltendes Bestellformular oder zwingendes Recht nichts anderes vorschreibt. Dies schränkt die Rechte oder gesetzlichen Pflichten eines teilnehmenden Kunden nicht ein.

2.2. Verarbeitung außerhalb des Geltungsbereichs dieser AVV

2.2.1. Dieser AVV findet keine Anwendung, wenn Coverflex oder ein Dritter personenbezogene Daten als unabhängiger Verantwortlicher verarbeitet, einschließlich der Fälle, in denen dieser die Zwecke und wesentlichen Mittel der Verarbeitung festlegt für:

• 2.2.1.1. seine direkte Beziehung zu den Nutzern sowie den Betrieb, die Personalisierung, den Support, die Sicherheit oder die Verbesserung der Plattform, soweit dies in der geltenden Datenschutzerklärung als Verarbeitung durch den Verantwortlichen beschrieben ist;
• 2.2.1.2. Betrugsbekämpfung, Informationssicherheit, Compliance, Rechtsansprüche, Corporate Governance oder die Einhaltung einer gesetzlichen oder aufsichtsrechtlichen Verpflichtung;
• 2.2.1.3. regulierte E-Geld-, Zahlungskarten-, Zahlungsdienst- oder Versicherungstätigkeiten, die von Coverflex oder einem entsprechenden Drittanbieter als unabhängiger Verantwortlicher durchgeführt werden; oder
• 2.2.1.4. Transaktionen, Dienste oder Gelder, die in den privaten Bereich eines Nutzers fallen und auf die der Kunde keinen rechtmäßigen Zugriff hat.

2.2.2. Die Verarbeitung durch unabhängige Verantwortliche unterliegt dem geltenden Datenschutzrecht, der geltenden Datenschutzerklärung und, soweit relevant, den Bedingungen des jeweiligen regulierten Anbieters oder Drittanbieters. Keine Bestimmung dieser AVV gewährt dem Kunden Zugriff auf personenbezogene Daten, zu deren Erhalt er rechtlich nicht berechtigt ist.

2.3. Rangfolge

2.3.1. Im Falle eines Konflikts bezüglich der Verarbeitung personenbezogener Daten des Kunden gilt im Umfang des Konflikts die folgende Rangfolge:

• 2.3.1.1. dieser AVV;
• 2.3.1.2. das geltende Bestellformular;
• 2.3.1.3. die geltenden Länderspezifischen Bedingungen; und
• 2.3.1.4. die Allgemeinen Geschäftsbedingungen und alle anderen Teile des Vertrags.

2.3.2. Bei Widersprüchen bezüglich der Verarbeitung von personenbezogenen Kundendaten hat dieser AVV im Umfang des Widerspruchs Vorrang. Ein Bestellformular oder eine sonstige schriftliche Änderung kann dieser AVV ergänzen, darf jedoch den Schutz der personenbezogenen Kundendaten nicht einschränken, es sei denn, dies ist nach geltendem Datenschutzrecht ausdrücklich zulässig. Für alle sonstigen Widersprüche gilt die Rangfolge in den Allgemeinen Geschäftsbedingungen.

‍

3. Rolle und Anweisungen des Kunden

3.1. Ernennung und Rollen

3.1.1. Der Kunde, der als Verantwortlicher auftritt, beauftragt den im jeweiligen Bestellformular genannten Coverflex-Vertragspartner als seinen Auftragsverarbeiter, und Coverflex nimmt diesen Auftrag an, um die personenbezogenen Daten des Kunden ausschließlich in dem Umfang zu verarbeiten, der zur Erbringung der im jeweiligen Bestellformular ausgewählten Dienste erforderlich ist, und in Übereinstimmung mit dieser AVV. Die Beauftragung umfasst die in dieser AVV und ihren Anhängen beschriebenen Vorgänge, Zwecke, Kategorien von personenbezogenen Daten des Kunden und betroffenen Personen, autorisierte Unterauftragsverarbeiter sowie technische und organisatorische Maßnahmen.

3.1.2. Sofern der Kunde als Auftragsverarbeiter für einen anderen Verantwortlichen auftritt, beauftragt der Kunde den Coverflex-Vertragspartner als seinen Unterauftragsverarbeiter und versichert, dass er über alle erforderlichen Befugnisse verfügt, um diese Beauftragung vorzunehmen und die dokumentierten Anweisungen gemäß diesem AVV zu erteilen.

3.1.3. Jeder teilnehmende Kunde ist Verantwortlicher in Bezug auf die von ihm kontrollierten personenbezogenen Kundendaten und beauftragt den Coverflex-Vertragspartner als Auftragsverarbeiter für die Verarbeitung im Zusammenhang mit den diesem teilnehmenden Kunden zur Verfügung gestellten Dienste.

3.1.4. Der Kunde ist berechtigt, im Namen der teilnehmenden Kunden dokumentierte Anweisungen zu übermitteln und vertragliche Rechte gemäß dieser AVV auszuüben, ohne die gesetzlichen Rechte oder Pflichten eines teilnehmenden Kunden gemäß dem geltenden Datenschutzrecht einzuschränken.

3.1.5. Jede Vertragspartei hat die für sie geltenden Verpflichtungen gemäß den geltenden Datenschutzgesetzen einzuhalten.

3.2. Dokumentierte Weisungen

3.2.1. Coverflex verarbeitet Personenbezogene Daten des Kunden ausschließlich auf der Grundlage dokumentierter Anweisungen des Kunden, auch im Hinblick auf Übermittlungen, es sei denn, dies ist nach geltendem Recht der Union oder eines Mitgliedstaats vorgeschrieben. Soweit gesetzlich zulässig, informiert Coverflex den Kunden vor der Verarbeitung über diese gesetzliche Anforderung.

3.2.2. Der Vertrag, das geltende Bestellformular, die Allgemeinen Geschäftsbedingungen, die vom Kunden autorisierte Konfiguration und Nutzung der Dienste (einschließlich aktivierter Funktionen, Integrationsumfänge, Zuordnungen, Filter, Dateispezifikationen und Administratoreinstellungen) sowie schriftliche Anweisungen, die über vereinbarte Support- oder Datenschutzkanäle übermittelt werden, stellen die dokumentierten Anweisungen des Kunden dar.

3.2.3. Coverflex wird den Kunden unverzüglich informieren, wenn nach seiner begründeten Auffassung eine Anweisung gegen geltendes Datenschutzrecht verstößt. Coverflex kann die betroffene Verarbeitung aussetzen, bis sich die Vertragsparteien auf eine rechtmäßige Anweisung einigen, unbeschadet etwaiger Rechte aus dem Vertrag.

3.2.4. Coverflex darf den Umfang der Verarbeitung personenbezogener Daten des Kunden nicht wesentlich erweitern oder deren Zwecke ändern, es sei denn, es liegen dokumentierte Anweisungen des Kunden vor oder dies ist gemäß dieser AVV zulässig.

3.3. Nutzungsbeschränkungen

3.3.1. Sofern nicht durch dokumentierte Anweisungen des Kunden oder zur Erbringung und Sicherung der Dienste erforderlich, darf Coverflex nicht:

• 3.3.1.1. Personenbezogene Daten des Kunden verkaufen oder diese gegen eine finanzielle oder sonstige wertvolle Gegenleistung offenlegen;
• 3.3.1.2. Personenbezogene Daten des Kunden für verhaltensbasierte Werbung oder Marketing gegenüber den betroffenen Personen verwenden;
• 3.3.1.3. Personenbezogene Daten des Kunden mit personenbezogenen Daten eines anderen Kunden für einen Zweck kombinieren, der nicht im Zusammenhang mit der Erbringung, Aufrechterhaltung oder Sicherung der Dienste steht;
• 3.3.1.4. die betroffenen Personen zu profilieren oder im Namen des Kunden Entscheidungen zu treffen, die rechtliche oder ähnlich schwerwiegende Auswirkungen haben, es sei denn, dies ist ausdrücklich in den Diensten enthalten und vom Kunden dokumentiert.

3.3.2. Coverflex darf Daten generieren und nutzen, die irreversibel anonymisiert wurden, sodass sie keine personenbezogenen Daten mehr darstellen, unter anderem für Analysezwecke, zur Sicherheit und zur Verbesserung der Dienste. Coverflex darf nicht versuchen, diese Daten wieder zu identifizieren.

‍

4. Verpflichtungen des Kunden

‍4.1. Der Kunde ist verantwortlich für:

• 4.1.1. sicherzustellen, dass seine Anweisungen mit dem geltenden Datenschutzrecht im Einklang stehen und dass personenbezogene Daten des Kunden rechtmäßig, fair und transparent erhoben, an Coverflex übermittelt und verarbeitet werden;
• 4.1.2. die Festlegung und Aufrechterhaltung einer geeigneten Rechtsgrundlage gemäß Artikel 6 DSGVO und, sofern relevant, einer Voraussetzung gemäß Artikel 9 oder Artikel 10 DSGVO;
• 4.1.3. den betroffenen Personen alle erforderlichen Datenschutzinformationen zur Verfügung zu stellen und alle notwendigen Benachrichtigungen, Konsultationen oder Einwilligungen zu verwalten;
• 4.1.4. sicherzustellen, dass die personenbezogenen Daten des Kunden angemessen, relevant und korrekt sind und auf das für die beauftragten Zwecke erforderliche Maß beschränkt bleiben;
• 4.1.5. Festlegung angemessener Aufbewahrungsfristen und Konfiguration oder Anweisung zur Löschung, sofern diese Funktion verfügbar ist;
• 4.1.6. Sicherung seiner Konten, Zugangsdaten, Endpunkte und Integrationen, Verwaltung des Benutzer- und Administratorzugriffs sowie unverzügliche Benachrichtigung von Coverflex bei Verdacht auf unbefugte Nutzung;
• 4.1.7. die Beurteilung, ob die Dienste und die TOM für die Verarbeitungsrisiken des Kunden geeignet sind, einschließlich der Verarbeitung besonderer Kategorien personenbezogener Daten oder von Daten Minderjähriger; und
• 4.1.8. sofern er als Auftragsverarbeiter auftritt, sicherzustellen, dass seine Anweisungen und die Beauftragung von Coverflex als Unterauftragsverarbeiter vom jeweiligen Verantwortlichen genehmigt sind.

4.2. Der Kunde darf Coverflex keine personenbezogenen Daten des Kunden zur Verfügung stellen, es sei denn, dies ist für die Dienste angemessen erforderlich und erfolgt im vereinbarten Umfang der Verarbeitung.

‍

5. Mitarbeiter von Coverflex und Vertraulichkeit

5.1. Coverflex stellt sicher, dass Personen, die zur Verarbeitung von personenbezogenen Kundendaten befugt sind:

• 5.1.1. darauf nur zugreifen, soweit dies zur Erfüllung ihrer Aufgaben erforderlich ist und im Einklang mit dem Prinzip der geringsten Berechtigungen steht;
• 5.1.2. vertraglichen oder gesetzlichen Geheimhaltungspflichten unterliegen;
• 5.1.3. angemessene Schulungen und Sensibilisierungsmaßnahmen zum Datenschutz und zur Informationssicherheit erhalten; und
• 5.1.4. angemessenen Verfahren zur Zugriffsverwaltung und zum Ausscheiden aus dem Unternehmen unterliegen.

5.2. Coverflex bleibt für die Einhaltung der in dieser AVV festgelegten Verpflichtungen durch sein befugtes Personal verantwortlich.

‍

6. Sicherheit der Verarbeitung

6.1. Sicherheitsverpflichtung

6.1.1. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie der Risiken für die betroffenen Personen muss Coverflex angemessene technische und organisatorische Maßnahmen umsetzen und aufrechterhalten, die darauf ausgelegt sind, die personenbezogenen Daten des Kunden vor versehentlicher oder unrechtmäßiger Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff auf die personenbezogenen Daten des Kunden zu schützen.

6.1.2. Die technischen und organisatorischen Maßnahmen (TOM) in Anhang 2 sind Bestandteil dieser AVV. Sie sollen ein dem Risiko angemessenes Sicherheitsniveau gewährleisten und umfassen Maßnahmen in Bezug auf Vertraulichkeit, Integrität, Verfügbarkeit, Ausfallsicherheit und die rechtzeitige Wiederherstellung des Zugriffs auf personenbezogene Daten.

6.1.3. Coverflex kann die technischen und organisatorischen Maßnahmen aktualisieren, um dem technischen Fortschritt, Sicherheitsentwicklungen und Änderungen an den Diensten Rechnung zu tragen, sofern die Aktualisierungen das allgemeine Schutzniveau während der ursprünglichen Laufzeit oder einer etwaigen Verlängerungslaufzeit nicht wesentlich verringern.

6.1.4. Coverflex wird die Wirksamkeit der relevanten TOM regelmäßig prüfen, bewerten und evaluieren und festgestellte Mängel auf risikobasierte Weise beheben.

6.2. Sicherheitspflichten des Kunden

6.2.1. Der Kunde erkennt an, dass Sicherheit eine gemeinsame Verantwortung ist. Der Kunde hat die verfügbaren Sicherheitskontrollen zu nutzen, angemessene Zugriffsberechtigungen aufrechtzuerhalten und die von Coverflex bereitgestellten angemessenen Sicherheitsrichtlinien zu befolgen.

6.2.2. Coverflex haftet nicht für eine Verletzung des Schutzes personenbezogener Daten, die durch die Systeme, Zugangsdaten, Anweisungen oder die vertragswidrige Nutzung der Dienste durch den Kunden verursacht wurde, es sei denn, Coverflex hat durch die Nichteinhaltung dieser AVV zu der Verletzung beigetragen.

7. Verletzungen des Schutzes personenbezogener Daten

7.1. Coverflex benachrichtigt den Kunden unverzüglich, nachdem es Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, die personenbezogene Daten des Kunden betrifft.

7.2. Die Benachrichtigung muss, soweit die Informationen zu diesem Zeitpunkt verfügbar sind:

• 7.2.1. die Art der Verletzung des Schutzes personenbezogener Daten beschreiben, einschließlich der Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze;
• 7.2.2. den Namen und die Kontaktdaten einer geeigneten Kontaktstelle angeben;
• 7.2.3. die wahrscheinlichen Folgen beschreiben; und
• 7.2.4. die ergriffenen oder vorgeschlagenen Maßnahmen zur Eindämmung, Untersuchung und Behebung der Datenschutzverletzung sowie zur Minderung nachteiliger Auswirkungen beschreiben.

7.3. Coverflex kann Informationen schrittweise bereitstellen, sobald diese verfügbar sind, und wird angemessene Aktualisierungen zu wesentlichen Entwicklungen vornehmen.

7.4. Coverflex ergreift angemessene Maßnahmen, um die Verletzung des Schutzes personenbezogener Daten einzudämmen und zu beheben, relevante Beweismittel zu sichern und bei den angemessenen Ermittlungen des Kunden zu kooperieren.

7.5. Eine Benachrichtigung oder Antwort gemäß dieser Klausel stellt kein Eingeständnis eines Verschuldens oder einer Haftung dar.

7.6. Der Kunde ist dafür verantwortlich, zu entscheiden, ob eine Aufsichtsbehörde oder betroffene Personen benachrichtigt werden sollen. Coverflex nimmt keine Benachrichtigung im Namen des Kunden vor, es sei denn, dies ist gesetzlich vorgeschrieben oder wurde ausdrücklich vom Kunden genehmigt.

‍

8. Anträge von Betroffenen

8.1. Unter Berücksichtigung der Art der Verarbeitung leistet Coverflex durch geeignete technische und organisatorische Maßnahmen angemessene Unterstützung, um dem Kunden die Beantwortung von Anträgen auf Ausübung der Rechte der betroffenen Personen zu ermöglichen.

8.2. Erhält Coverflex einen Antrag einer betroffenen Person in Bezug auf personenbezogene Daten des Kunden, wird Coverflex – sofern dies nicht gesetzlich untersagt ist –

• 8.2.1. den Antrag unverzüglich an den Kunden weiterleiten oder ihn anderweitig benachrichtigen; und
• 8.2.2. keine inhaltliche Antwort erteilen, es sei denn, es liegen dokumentierte Anweisungen des Kunden vor oder dies ist gesetzlich vorgeschrieben.

8.3. Klausel 8 gilt nicht für Anfragen bezüglich personenbezogener Daten, bei denen Coverflex als unabhängiger Verantwortlicher auftritt. Coverflex wird eine solche Anfrage direkt in Übereinstimmung mit dem geltenden Datenschutzrecht und der geltenden Datenschutzerklärung bearbeiten.

8.4. Keine Bestimmung dieser AVV verpflichtet Coverflex zur Offenlegung personenbezogener Daten gegenüber dem Kunden, wenn der Kunde kein gesetzliches Auskunftsrecht hat.

9. Unterstützung und Zusammenarbeit mit Aufsichtsbehörden

9.1. Unter Berücksichtigung der Art der Verarbeitung und der Coverflex zur Verfügung stehenden Informationen leistet Coverflex dem Kunden angemessene Unterstützung bei:

• 9.1.1. der Einhaltung der Artikel 32 bis 36 DSGVO, einschließlich Sicherheitsbewertungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultationen;
• 9.1.2. dem Nachweis der Einhaltung von Artikel 28 DSGVO;
• 9.1.3. der Beantwortung von Anfragen einer zuständigen Aufsichtsbehörde in Bezug auf personenbezogene Daten des Kunden; und
• 9.1.4. der Aufbewahrung von Informationen, die für die Aufzeichnungen des Kunden über die Verarbeitung angemessen erforderlich sind.

9.2. Coverflex informiert den Kunden unverzüglich, wenn es eine rechtsverbindliche Anfrage einer Aufsichtsbehörde erhält, die sich speziell auf personenbezogene Daten des Kunden bezieht, sofern dies nicht gesetzlich untersagt ist.

9.3. Unterstützung, die routinemäßig, verhältnismäßig und für Coverflex zum Nachweis der eigenen Einhaltung erforderlich ist, ist in den Gebühren enthalten. Coverflex kann angemessene, auf Zeitaufwand und Ressourcen basierende Gebühren für übermäßige, wiederholte oder maßgeschneiderte Unterstützung erheben, die nicht auf einen Verstoß von Coverflex gegen diesen AVV zurückzuführen ist, sofern es den Kunden vorab über die zu erwartenden Kosten informiert.

‍

10. Unterauftragsverarbeiter

10.1. Allgemeine Ermächtigung

10.1.1. Der Kunde erteilt Coverflex eine allgemeine schriftliche Ermächtigung, die in Anhang 3 genannten Unterauftragsverarbeiter mit der Verarbeitung von personenbezogenen Kundendaten für die Dienste zu beauftragen.

10.1.2. Coverflex führt die aktuelle Liste der autorisierten Unterauftragsverarbeiter direkt in Anhang 3. Anhang 3 ist integraler Bestandteil dieser AVV und enthält den offiziellen Namen jedes Unterauftragsverarbeiters, die Verarbeitungstätigkeit, die relevanten Kategorien der personenbezogenen Daten des Kunden, den Verarbeitungsort, den Unternehmensstandort sowie den anwendbaren Mechanismus für internationale Datenübermittlungen.

10.2. Beauftragung und Verantwortung

10.2.1. Bevor ein Unterauftragsverarbeiter personenbezogene Daten des Kunden verarbeitet, hat Coverflex:

• 10.2.1.1. eine angemessene Sorgfaltsprüfung durchzuführen, um zu beurteilen, ob der Unterauftragsverarbeiter ausreichende Garantien hinsichtlich Datenschutz und -sicherheit bietet; und
• 10.2.1.2. einen schriftlichen Vertrag abzuschließen, der dem Unterauftragsverarbeiter Datenschutzverpflichtungen auferlegt, die inhaltlich nicht weniger streng sind als diejenigen, die für Coverflex gemäß dieser AVV gelten, soweit dies für die Dienste des Unterauftragsverarbeiters relevant ist.

10.2.2. Coverflex bleibt gegenüber dem Kunden für die Erfüllung der Verpflichtungen jedes Unterauftragsverarbeiters in dem Umfang verantwortlich, wie dies nach dem geltenden Datenschutzrecht erforderlich ist.

10.3. Änderungen und Einwände

10.3.1. Coverflex hat den Kunden mindestens vierzehn (14) Tage im Voraus per E-Mail, durch eine Benachrichtigung innerhalb des Produkts oder durch eine andere dauerhafte schriftliche Mitteilung über einen neuen oder ersetzenden Unterauftragsverarbeiter zu informieren. In der Mitteilung ist die vorgeschlagene Änderung an Anhang 3 anzugeben und die Informationen bereitzustellen, die für den Kunden zur Beurteilung dieser Änderung angemessen erforderlich sind.

10.3.2. Der Kunde kann innerhalb dieser Frist aus angemessenen und dokumentierten datenschutzrechtlichen Gründen, die den vorgeschlagenen Unterauftragsverarbeiter betreffen, Widerspruch einlegen.

10.3.3. Die Vertragsparteien werden sich nach Treu und Glauben bemühen, einem berechtigten Widerspruch Rechnung zu tragen. Coverflex kann eine wirtschaftlich angemessene Änderung der betroffenen Dienste oder der Konfiguration vornehmen, um die Verarbeitung durch den vorgeschlagenen Unterauftragsverarbeiter zu vermeiden.

10.3.4. Ist keine angemessene Lösung verfügbar, kann jede Vertragspartei durch schriftliche Mitteilung ausschließlich den betroffenen Dienst kündigen, bevor der Unterauftragsverarbeiter mit der Verarbeitung der personenbezogenen Daten des Kunden beginnt. Eine solche Kündigung und ihre finanziellen Folgen richten sich nach dem Vertrag. Diese Klausel begründet kein zusätzliches Recht auf Rückerstattung, Gutschrift oder Entschädigung.

‍

11. Internationale Übermittlungen und Zugriff durch Behörden

11.1. Verarbeitungsorte

11.1.1. In der Regel verarbeitet Coverflex Personenbezogene Daten des Kunden im EWR. Coverflex darf Personenbezogene Daten des Kunden außerhalb des EWR nur in Übereinstimmung mit dem geltenden Datenschutzrecht und dieser Klausel 11 verarbeiten.

11.2. Sicherungsmaßnahmen für die Übermittlung

11.2.1. Coverflex stellt sicher, dass jede eingeschränkte Übermittlung durch einen gültigen Übermittlungsmechanismus gestützt wird, einschließlich einer Angemessenheitsentscheidung oder einer anderen durch das geltende Datenschutzrecht zugelassenen Schutzmaßnahme.

11.2.2. Coverflex führt angemessene Folgenabschätzungen zur Datenübermittlung durch oder unterstützt diese und ergreift bei Bedarf zusätzliche Schutzmaßnahmen, um ein Schutzniveau zu gewährleisten, das im Wesentlichen dem im EWR garantierten Schutzniveau entspricht.

11.2.3. Auf Anfrage stellt Coverflex unter Beachtung von Vertraulichkeits- und Sicherheitsauflagen angemessene Informationen über den anwendbaren Übermittlungsmechanismus zur Verfügung.

11.3. Zugriffsanfragen von Behörden

11.3.1. Erhält Coverflex oder ein Unterauftragsverarbeiter eine rechtsverbindliche Anfrage einer Behörde bezüglich personenbezogener Daten des Kunden, so hat Coverflex, soweit gesetzlich zulässig:

• 11.3.1.1. den Kunden vor der Offenlegung zu benachrichtigen;
• 11.3.1.2. die Rechtmäßigkeit der Anfrage zu prüfen und diese anzufechten, sofern dafür triftige Gründe vorliegen;
• 11.3.1.3. nur die gesetzlich vorgeschriebenen Mindestangaben der personenbezogenen Kundendaten offenzulegen; und
• 11.3.1.4. die Anfrage und die Antwort zu dokumentieren.

‍

12. Prüfung und Nachweis der Einhaltung

12.1. Coverflex stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser AVV angemessen erforderlich sind, einschließlich relevanter Sicherheitsdokumentation und, sofern verfügbar, unabhängiger Zertifizierungen, Prüfberichte oder Zusammenfassungen, Zusammenfassungen von Penetrationstests sowie Antworten auf angemessene Sicherheitsfragebögen.

12.2. Die Vertragsparteien wenden ein verhältnismäßiges, stufenweises Überprüfungsverfahren an. Der Kunde prüft zunächst die von Coverflex zur Verfügung gestellten Informationen und kann zusätzliche Informationen anfordern, die zur Behebung einer wesentlichen Lücke angemessen erforderlich sind.

12.3. Sind die bereitgestellten Informationen nicht in angemessenem Umfang ausreichend, kann der Kunde selbst oder durch einen unabhängigen, qualifizierten Prüfer ein Audit durchführen, vorbehaltlich der folgenden Bedingungen:

• 12.3.1. höchstens einmal pro Zwölfmonatszeitraum, es sei denn, eine Verletzung des Schutzes personenbezogener Daten, hinreichende Anhaltspunkte für einen wesentlichen Verstoß oder eine Aufforderung durch eine zuständige Aufsichtsbehörde rechtfertigen eine zusätzliche Prüfung;
• 12.3.2. mit einer schriftlichen Vorankündigung von mindestens dreißig (30) Tagen, es sei denn, dringende Umstände erfordern nach vernünftigem Ermessen eine kürzere Frist;
• 12.3.3. Das Audit muss während der üblichen Geschäftszeiten stattfinden, sich auf Systeme, Aufzeichnungen und Personal beschränken, die für die personenbezogenen Daten des Kunden relevant sind, und unangemessene Störungen oder Sicherheitsrisiken vermeiden. Sofern nicht durch zwingendes Recht oder eine zuständige Aufsichtsbehörde vorgeschrieben, darf ein Audit keinen Zugriff auf Quellcode, Daten anderer Kunden, Rohdaten aus Schwachstellen- oder Penetrationstests, rechtlich privilegiertes Material oder Informationen erfordern, die nicht im Zusammenhang mit der Verarbeitung durch den Kunden stehen. Coverflex kann geschwärzte Informationen oder gleichwertige alternative Nachweise vorlegen, sofern dies zum Schutz der Sicherheit, der Vertraulichkeit oder der Rechte Dritter vernünftigerweise erforderlich ist;
• 12.3.4. Der Prüfer darf kein direkter Wettbewerber von Coverflex sein und muss an angemessene Vertraulichkeitsverpflichtungen gebunden sein; und
• 12.3.5. der Kunde trägt seine Prüfungskosten, es sei denn, bei der Prüfung wird ein wesentlicher Verstoß gegen diesen AVV durch Coverflex festgestellt; in diesem Fall trägt Coverflex seine angemessenen internen Kosten und behebt den Verstoß unverzüglich.

12.4. Keine Bestimmung dieser Klausel schränkt die gesetzlichen Prüfungs- oder Kontrollbefugnisse einer zuständigen Aufsichtsbehörde ein.

‍

13. Rückgabe, Löschung und Aufbewahrung

13.1. Während der Erstlaufzeit oder einer etwaigen Verlängerungslaufzeit kann der Kunde unter Beachtung des Vertrags und des anwendbaren Datenschutzrechts mithilfe der verfügbaren Servicefunktionen auf seine personenbezogenen Daten zugreifen, diese exportieren oder löschen.

13.2. Bei Beendigung oder Ablauf der betroffenen Dienste hat Coverflex nach Wahl des Kunden die personenbezogenen Kundendaten und vorhandene Kopien zurückzugeben oder zu löschen, es sei denn, geltendes Recht schreibt eine Aufbewahrung vor. Während der Erstlaufzeit oder einer etwaigen Verlängerungslaufzeit unterliegen Anträge auf Rückgabe oder Löschung personenbezogener Kundendaten dem geltenden Datenschutzrecht, den verfügbaren Servicefunktionen und der technischen Machbarkeit. Coverflex kann die betroffene Verarbeitung aussetzen oder einschränken, wenn die Erfüllung eines solchen Antrags die Erbringung des betreffenden Dienstes verhindern oder wesentlich beeinträchtigen würde.

13.3. Ist eine sofortige Löschung aus einem Backup nicht zumutbar möglich, bleiben die personenbezogenen Daten des Kunden geschützt, von der gewöhnlichen Nutzung isoliert und werden im Rahmen des sicheren Backup-Lebenszyklus von Coverflex gelöscht. Sie dürfen nur zu Zwecken der Notfallwiederherstellung oder aus Sicherheitsgründen wiederhergestellt werden und unterliegen im Falle einer Wiederherstellung weiterhin dieser AVV und werden gemäß dem geltenden Löschverfahren erneut gelöscht.

13.4. Ist Coverflex gesetzlich zur Aufbewahrung von personenbezogenen Kundendaten verpflichtet, beschränkt es die Verarbeitung auf den gesetzlich vorgeschriebenen Zweck und Zeitraum, wahrt die Vertraulichkeit und löscht die Daten, sobald die Aufbewahrungspflicht endet.

13.5. Auf begründeten Antrag des Kunden bestätigt Coverflex den Abschluss der Löschung schriftlich.

13.6. Diese Klausel verlangt keine Löschung von personenbezogenen Daten, die Coverflex als unabhängiger Verantwortlicher rechtmäßig aufbewahrt. Diese Daten unterliegen weiterhin dem geltenden Datenschutzrecht und der geltenden Datenschutzerklärung.

‍

14. Haftung

14.1. Die Haftung jeder Vertragspartei, die sich aus oder im Zusammenhang mit dieser AVV ergibt, ist Bestandteil der Haftungsausschlüsse und -beschränkungen in den Allgemeinen Geschäftsbedingungen und unterliegt diesen, es sei denn, eine solche Beschränkung ist nach dem geltenden Datenschutzrecht unzulässig.

14.2. Sind mehrere Vertragsparteien für einen Schaden verantwortlich, so richtet sich die Haftung jeder Vertragspartei nach dem geltenden Datenschutzrecht, einschließlich etwaiger Regressansprüche zwischen den Vertragsparteien.

14.3. Keine Bestimmung dieser AVV schränkt die Rechte einer betroffenen Person oder die Befugnisse einer Aufsichtsbehörde gemäß dem geltenden Datenschutzrecht ein.

14.4. Zur Klarstellung: Keine Bestimmung dieser AVV schränkt die Verantwortlichkeiten, Zahlungsverpflichtungen oder Entschädigungsverpflichtungen des Kunden gemäß dem Vertrag in Bezug auf personenbezogene Daten des Kunden, Kundenmaterialien, Anweisungen, Konfigurationen, Zulassungsregeln, das Fehlen einer gültigen Rechtsgrundlage oder einer erforderlichen Benachrichtigung oder die rechtswidrige Nutzung der Dienste ein, es sei denn, dies ist unmittelbar auf einen Verstoß von Coverflex gegen diesen AVV zurückzuführen.

15. Laufzeit und Kündigung

15.1. Dieser AVV tritt am Tag des Inkrafttretens des Vertrags in Kraft und bleibt so lange gültig, wie Coverflex personenbezogene Daten des Kunden im Auftrag des Kunden verarbeitet.

15.2. Die Kündigung oder das Auslaufen des Vertrags entbindet keine der Vertragsparteien von Verpflichtungen, die ihrer Natur nach fortbestehen, solange sich Personenbezogene Daten des Kunden in ihrem Besitz oder unter ihrer Kontrolle befinden, einschließlich Verpflichtungen zur Vertraulichkeit, Sicherheit, Löschung, Zusammenarbeit bei Audits und zur Datenübermittlung.

15.3. Ist Coverflex nicht in der Lage, einer wesentlichen Verpflichtung aus dieser AVV nachzukommen, hat es den Kunden unverzüglich darüber zu informieren. Die Vertragsparteien arbeiten nach Treu und Glauben bei der Festlegung geeigneter Abhilfemaßnahmen zusammen. Der Kunde darf die betroffene Verarbeitung aussetzen oder die betroffene Dienstleistung nur insoweit kündigen, wie dies zur Einhaltung des anwendbaren Datenschutzrechts erforderlich ist, und, sofern die Nichteinhaltung behoben werden kann, erst nachdem er Coverflex eine angemessene Gelegenheit zur Behebung eingeräumt hat. Jede Kündigung und ihre finanziellen Folgen unterliegen weiterhin dem Vertrag, sofern dies nicht durch das anwendbare Datenschutzrecht untersagt ist.

‍

16. Allgemeine Bestimmungen

16.1. Mitteilungen und Kontakt

16.1.1. Mitteilungen zu Datenschutz und Datensicherheit an Coverflex sind an [email protected] zu richten. Vertragliche Mitteilungen müssen zudem den Mitteilungsanforderungen in den Allgemeinen Geschäftsbedingungen entsprechen.

16.1.2. Der Kunde hat aktuelle Ansprechpartner für Datenschutz und Sicherheit in der Plattform zu pflegen oder Coverflex diese anderweitig mitzuteilen.

16.2. Änderungen dieser AVV

16.2.1. Klausel 18 (Änderungen der AGB) der Allgemeinen Geschäftsbedingungen gilt entsprechend für jede Änderung dieser AVV. Diese Klausel begründet kein gesondertes oder zusätzliches Recht zur Änderung der AVV.

16.3. Anwendbares Recht und Gerichtsstand

16.3.1. Sofern nicht zwingende anwendbare Datenschutzgesetze etwas anderes vorschreiben, unterliegt dieser AVV dem in dem jeweiligen Bestellformular und den Allgemeinen Geschäftsbedingungen festgelegten anwendbaren Recht und der dort bestimmten Gerichtsbarkeit.

16.4. Sonstiges

16.4.1. Sollte eine Bestimmung dieser AVV unwirksam oder undurchsetzbar sein, bleiben die übrigen Bestimmungen davon unberührt. Die unwirksame Bestimmung ist, soweit möglich, durch eine wirksame Bestimmung zu ersetzen, die ihrem rechtmäßigen Zweck am nächsten kommt.

16.4.2. Die Unterlassung oder Verzögerung bei der Ausübung eines Rechts stellt keinen Verzicht auf dieses Recht dar.

16.4.3. Dieser AVV enthält zusammen mit dem Vertrag die vollständige Vereinbarung der Vertragsparteien bezüglich der Verarbeitung von personenbezogenen Kundendaten und ersetzt frühere Datenverarbeitungsbedingungen, die dieselbe Verarbeitung betreffen.

16.4.4. Dieser AVV erweitert weder den Umfang noch die Funktionalität der Dienste, begründet keine Service-Level-Vereinbarung, Gewährleistung oder Leistungsgarantie und verpflichtet Coverflex nicht zur Entwicklung oder Anpassung von Funktionen. Sofern nicht durch geltendes Datenschutzrecht vorgeschrieben, unterliegt jede Unterstützung, die über die verfügbaren Dienstfunktionen und den routinemäßigen Support hinausgeht, der technischen Machbarkeit, einer angemessenen Terminplanung und den Abrechnungsbestimmungen in Ziffer 9.3. Keine Bestimmung dieser AVV stellt eine Rechts-, Steuer-, Arbeits- oder aufsichtsrechtliche Beratung für den Kunden dar.

‍

‍

Anhang 1 – Angaben zur Verarbeitung

1. Vertragsparteien und Rollen

2. Gegenstand

Die Verarbeitung personenbezogener Kundendaten, die zur Konfiguration, Bereitstellung, Verwaltung, Unterstützung, Sicherung und Wartung der vom Kunden ausgewählten Dienste erforderlich ist, einschließlich der vom Arbeitgeber veranlassten Verwaltung von Benefits und der Lohn- und Gehaltsabrechnung, Erstattungen, Rechnungsprüfung, Dokumentenarchivierung, Gehaltstransparenz und Integrationen, soweit Coverflex diese Tätigkeiten als Auftragsverarbeiter durchführt.

3. Laufzeit

Für die anfängliche Laufzeit, etwaige Verlängerungszeiträume und einen begrenzten Zeitraum nach Beendigung, in dem Coverflex die personenbezogenen Daten des Kunden gemäß dokumentierten Anweisungen, dem sicheren Backup-Lebenszyklus und etwaigen gesetzlichen Aufbewahrungspflichten zurückgibt oder löscht.

4. Art und Ablauf der Verarbeitung

Erhebung, Entgegennahme, Erfassung, Organisation, Strukturierung, Hosting, Speicherung, Anpassung, Abruf, Abfrage, Abgleich, Validierung, Parsing, Extraktion, Normalisierung, Zuordnung, Berechnung, Analyse, Synchronisierung, Übermittlung, Bereitstellung, Berichterstattung, Einschränkung, Export, Rückgabe, Löschung und sonstige Vorgänge, die zur Erbringung der beauftragten Dienste nach vernünftigem Ermessen erforderlich sind.

5. Zwecke

• 5.1. Erstellung und Verwaltung von Arbeitgeber- und Benutzerkonten.
• 5.2. Import, Synchronisierung und Pflege von Personaldaten durch manuellen Upload, Kombo, SFTP oder andere vom Kunden aktivierte Integrationen, einschließlich Onboarding, Offboarding, Gehaltsaktualisierungen, Aufstockungen, arbeitgebergesteuerte Berichte, Zuordnung, Validierung, Deduplizierung und Fehlerbehandlung.
• 5.3. Konfiguration und Zuweisung von Benefits, Zulagen, Budgets oder anderen vom Arbeitgeber finanzierten Programmen.
• 5.4. Unterstützung der Lohn- und Gehaltsabrechnung und Erstellung von arbeitgeberbezogenen Berichten.
• 5.5. Entgegennahme und Verwaltung von Erstattungsanträgen und Begleitdokumenten.
• 5.6. Durchführung der Validierung von Rechnungen oder Belegen gemäß den vom Kunden konfigurierten oder vereinbarten Regeln.
• 5.7. Bereitstellung der Funktion „Digitales Archiv“ und Abruf archivierter Datensätze auf Anweisung des Kunden.
• 5.8. Bereitstellung von Kundensupport im Auftrag des Kunden, sofern zutreffend.
• 5.9. Bereitstellung der vom Kunden aktivierten Funktionen zur Gehaltstransparenz, einschließlich Datei-Upload, Extraktion, Parsing, Strukturierung, Validierung, Normalisierung und Zuordnung; Identifizierung fehlender Informationen; Berechnung und Anzeige von geschlechtsspezifischen Lohnunterschieden, Lohngleichheitsindikatoren und Compliance-Kennzahlen; sowie Erstellung von Dashboards, Vergleichsgruppen, Berichten und Exporten.
• 5.10. Bereitstellung von vom Kunden aktivierten und konfigurierten Integrationen, einschließlich der Datenerfassung aus und der Datenübertragung an das HRIS, ERP oder die Lohnabrechnungsumgebung des Kunden, Webhooks, Feldzuordnung, Weiterleitung, Verarbeitung von Belegen, Fehlerberichten, Audit-Protokollen und Fehlerbehebung.
• 5.11. Gewährleistung von Sicherheit, Verfügbarkeit und Geschäftskontinuität sowie Fehlerbehebung, soweit diese Tätigkeiten eine Verarbeitung im Auftrag des Kunden darstellen.

6. Kategorien von betroffenen Personen

• 6.1. Die Mitarbeiter, Arbeitnehmer, Führungskräfte, Direktoren, Berater und sonstigen berechtigten Nutzer des Kunden, einschließlich ehemaliger Mitarbeiter während einer geltenden Offboarding- oder Restlaufzeit.
• 6.2. Kundenadministratoren, bevollmächtigte Vertreter und Geschäftskontakte.
• 6.3. Angehörige, Haushaltsmitglieder, Begünstigte und Versicherte, einschließlich Minderjähriger, sofern dies für eine aktivierte Leistung oder einen aktivierten Dienst relevant ist.
• 6.4. Personen, die in Rechnungen, Belegen, Erstattungsunterlagen oder anderen über die Dienste eingereichten Belegen genannt sind.

7. Kategorien personenbezogener Daten des Kunden

Die folgenden Kategorien gelten nur, sofern sie für eine aktivierte Dienstleistung relevant sind und Coverflex die Daten im Auftrag des Kunden verarbeitet:

• 7.1. Identifikationsdaten, einschließlich Name, Benutzername, Mitarbeiter-ID, Steueridentifikationsnummer und, falls erforderlich, amtliche Identifikationsdaten, mit Ausnahme der in Abschnitt 8.1 genannten Kategorien;
• 7.2. Kontaktdaten, einschließlich geschäftlicher oder privater E-Mail-Adresse, Postanschrift und Telefonnummer;
• 7.3. demografische und berufliche Daten, einschließlich Geburtsdatum, Geschlecht, Arbeitgeber, Beschäftigungsstatus, Abteilung, Angaben zur Tätigkeit, Beginn- und Enddatum sowie Informationen zur Anspruchsberechtigung;
• 7.4. Daten zu Gehaltsabrechnung, Steuern, Vergütung und Benefits, einschließlich Familienstand oder Angaben zu unterhaltsberechtigten Personen, sofern dies für einen aktivierten Dienst erforderlich ist;
• 7.5. Bank- und Zahlungsabwicklungsdaten, einschließlich IBAN, Angaben zu Einzahlungen oder Erstattungen sowie begrenzte Transaktions- oder Zahlungsreferenzen, jedoch unter Ausschluss der Verarbeitung durch regulierte Anbieter, die als unabhängige Verantwortliche tätig sind;
• 7.6. Daten zu Benefits, Zulagen, Budgets, Erstattungen und Produktnutzung;
• 7.7. Rechnungen, Quittungen, Belege und andere Nachweise, einschließlich Angaben zu Händler, Artikel, Betrag, Datum und Steuern;
• 7.8. Daten zu Haushalt, unterhaltsberechtigten Personen und Begünstigten, einschließlich Name, Steuernummer, Geburtsdatum und Beziehung zum Nutzer;
• 7.9. Daten zur Authentifizierung, zum Zugriff und zur Kontoverwaltung;
• 7.10. Support-Kommunikation und Inhalte, die vom Kunden oder von Nutzern im Rahmen eines arbeitgeberorientierten Supports übermittelt wurden;
• 7.11. technische Daten, Gerätedaten, Protokolldaten und Integrationsdaten, sofern diese im Auftrag des Kunden verarbeitet werden; und
• 7.12. sonstige personenbezogene Daten, die nicht zu den besonderen Datenkategorien gehören, die ausdrücklich von Coverflex vereinbart und vom oder für den Kunden übermittelt wurden, sofern dies für den zulässigen Umfang der Dienste erforderlich ist, mit Ausnahme der in Abschnitt 8.1 genannten Kategorien.

8. Besondere Kategorien und sensible Daten

8.1. Die Dienste sind nicht dafür ausgelegt oder vorgesehen, Sozialversicherungsnummern, personenbezogene Daten, aus denen eine Gewerkschaftszugehörigkeit hervorgeht, personenbezogene Daten im Zusammenhang mit strafrechtlichen Verurteilungen oder Straftaten, vollständige Zahlungskartendaten oder biometrische Daten als personenbezogene Daten des Kunden zu verarbeiten. Der Kunde darf diese Datenkategorien nicht über die Dienste übermitteln. Sollten solche Daten versehentlich in von oder im Namen des Kunden übermittelten Unterlagen enthalten sein, hat der Kunde Coverflex unverzüglich zu benachrichtigen, und die Vertragsparteien haben bei der angemessenen Löschung, Rückgabe oder sonstigen rechtmäßigen Behandlung dieser Daten zusammenzuarbeiten.

8.2. Personenbezogene Daten des Kunden dürfen nur dann in begrenztem Umfang gesundheitsbezogene Informationen enthalten, wenn eine zur Erstattung eingereichte Rechnung, Quittung oder ein anderer Beleg eine bestimmte medizinische Behandlung, eine medizinische Einrichtung oder einen anderen Gesundheitsdienstleister oder ein Medikament identifiziert oder offenlegt.

8.3. Coverflex verarbeitet die in Ziffer 8.2 beschriebenen gesundheitsbezogenen Informationen ausschließlich in dem Umfang, der erforderlich ist, um gemäß den dokumentierten Anweisungen des Kunden zu überprüfen, ob die dokumentierten Ausgaben als erstattungsfähige medizinische Ausgaben gelten und daher als Leistung genehmigt und zugewiesen werden können.

8.4. Die in den Ziffern 8.2 und 8.3 beschriebene Verarbeitung gilt nur, wenn die betreffende medizinische Leistung nach dem Recht der anwendbaren Rechtsordnung zulässig ist und vom Kunden für die betreffenden Nutzer aktiviert wurde.

8.5. Der Kunde ist dafür verantwortlich, einen gültigen Sachverhalt gemäß Artikel 9 DSGVO zu ermitteln und zu dokumentieren, alle erforderlichen Hinweise bereitzustellen und sicherzustellen, dass seine Anweisungen und Anspruchsvoraussetzungen mit dem geltenden Datenschutzrecht im Einklang stehen. Der Kunde hat die Übermittlung gesundheitsbezogener Informationen zu vermeiden, die für die Überprüfung der betreffenden Ausgabe nicht erforderlich sind, und, soweit möglich, nicht relevante Informationen vor der Übermittlung zu schwärzen.

8.6. Coverflex beschränkt den Zugriff auf gesundheitsbezogene Informationen auf autorisiertes Personal nach dem Need-to-know-Prinzip und wendet die in Anhang 2 aufgeführten technischen und organisatorischen Maßnahmen an. Diese Informationen dürfen nur gemäß den dokumentierten Anweisungen des Kunden, Klausel 13 und dem geltenden Aufbewahrungsplan aufbewahrt werden.

9. Häufigkeit

Kontinuierlich für das Hosting der Kernplattform und die Kontoverwaltung; periodisch oder ereignisgesteuert für die Synchronisierung der Belegschaft, Zuweisungen, Gehaltsabrechnungen, Erstattungen, Rechnungsprüfung, Support, Archivierung, Export und Löschung.

10. Verarbeitungsorte

Vorwiegend innerhalb des EWR, vorbehaltlich der in Anhang 3 genannten Verarbeitungsorte und der in Ziffer 11 genannten Schutzmaßnahmen für die Datenübermittlung.

11. Aufbewahrungsfrist

Für die vom Kunden festgelegten oder angeordneten Zeiträume, die Dauer, die zur Erbringung der jeweiligen Dienstleistung angemessen erforderlich ist, sowie die Rückgabe-/Löschfrist gemäß Ziffer 13. Dies gilt, soweit relevant, für Quelldateien, strukturierte Datensätze, Verarbeitungs-Eingaben und Zuordnungen, Dashboards, Berichte, Synchronisations- und Webhook-Daten, Integrationskennungen, eingehende und ausgehende Dateien, Belege, Fehlerberichte, Protokolle und Sicherungskopien. Gesetzliche Aufbewahrungspflichten und die Aufbewahrung durch Coverflex als eigenständiger Verantwortlicher fallen nicht unter die Anweisungen des Kunden und werden gemäß den geltenden Datenschutzgesetzen gehandhabt.

12. Gehaltstransparenz

12.1. Geltungsbereich und Zwecke

Wenn die Gehaltstransparenz im jeweiligen Bestellformular oder in der Dienstkonfiguration ausgewählt oder aktiviert ist, verarbeitet Coverflex personenbezogene Daten des Kunden, um Gehaltsabrechnungs-, HRIS-, Arbeitsvertrags- und Vorlagendateien zu empfangen und hochzuladen; um Extraktion, Parsing, Strukturierung, Validierung, Normalisierung und Zuordnung durchzuführen; Stellenbezeichnungen, Berufe, Qualifikationen und Bildungsniveaus zu klassifizieren und zu standardisieren; fehlende Felder zu identifizieren und zusätzliche Informationen anzufordern; geschlechtsspezifische Lohnunterschiede, Indikatoren zur Lohngleichheit sowie – sofern in der ausgewählten Konfiguration verfügbar – Indikatoren zur Datenqualität, zur Anspruchsberechtigung und zu den Ursachen für Lohnunterschiede zu berechnen und anzuzeigen; Dashboards, vorgeschlagene Vergleichsgruppen, Berichte und Exporte zu erstellen und zu pflegen; dem Kunden die Möglichkeit zu geben, Zuordnungen und Klassifizierungen zu überprüfen, zu bestätigen oder zu korrigieren; Compliance-Workflows zu unterstützen; sowie auf dokumentierte Anweisung des Kunden hin Support, Fehlerbehebung, Zurücksetzen und Löschung bereitzustellen.

12.2. Kategorien von betroffenen Personen

Aktuelle und ehemalige Mitarbeiter, Arbeitnehmer, Führungskräfte, Vorstandsmitglieder, Berater und sonstiges Personal, das vom Kunden in die Analyse einbezogen wird, sowie autorisierte Administratoren und Vertreter des Kunden.

12.3. Kategorien personenbezogener Daten des Kunden

Je nach Markt, Dateien und Konfiguration des Kunden: Name; Mitarbeiter- oder externe Kennung; portugiesische NIF, italienischer Codice Fiscale oder andere Steuerkennnummer; Geschlecht; Geburtsdatum; Eintritts-, Start- oder Einstellungsdatum; Abteilung; Team; Funktion; interne Berufsbezeichnung; Karrierestufe oder Dienstalter; Beruf und Berufscode; Qualifikation und Qualifikationscode; Ausbildung und Ausbildungscode oder -niveau; Art des Arbeitsvertrags; Beschäftigungsart; Arbeitszeit, Vollzeitäquivalent (FTE) und monatliche Arbeitsstunden; vertragliches oder tatsächliches Grundgehalt; erwartetes, fälliges oder gezahltes Gehalt; Essenszulage oder „buoni pasto“; regelmäßige, wiederkehrende oder einmalige Prämien und Zulagen; Überstunden; Benefits und sonstige Vergütungsbestandteile; Gesamtvergütung; sowie Daten zur Berechnung einfacher oder bereinigter geschlechtsspezifischer Lohnunterschiede. Für Italien können dies auch CCNL/CNEL-Code, Kategorie, Stufe, „mansione“, Status als Auszubildender, NebenBenefits, Wert des Dienstwagens, MBO und Dienstalterszulagen umfassen.

12.4. Rolle und Schutzmaßnahmen

Coverflex fungiert als Auftragsverarbeiter für die in diesem Abschnitt beschriebene Verarbeitung. Der Kunde bleibt verantwortlich für die Rechtsgrundlage, die Unterrichtung der Arbeitnehmer, die Datenminimierung, die Richtigkeit, die Überprüfung und Validierung von Zuordnungen und Klassifizierungen, die Genehmigung der Kriterien und Ergebnisse der Vergleichsgruppe, die Auslegung und Nutzung der Ergebnisse sowie die Einhaltung der geltenden Verpflichtungen hinsichtlich Lohntransparenz, Lohngleichheit und Arbeitsrecht. Die Ergebnisse sind Instrumente zur Entscheidungsunterstützung und stellen weder eine Rechtsberatung noch eine Feststellung der Compliance dar. Coverflex nutzt sie nicht im Auftrag des Kunden, um ausschließlich automatisierte Entscheidungen zu treffen, die rechtliche oder ähnlich schwerwiegende Auswirkungen auf betroffene Personen haben. Coverflex garantiert nicht, dass die Ergebnisse die Einhaltung gesetzlicher Vorschriften durch den Kunden begründen oder nachweisen. Die für diese Funktion verwendeten personenbezogenen Daten des Kunden werden nicht als anonymisiert dargestellt und können weiterhin mit namentlich genannten oder identifizierbaren Mitarbeitern verknüpft bleiben. Der Zugriff ist auf autorisierte Administratoren des Kunden und autorisiertes Coverflex-Personal beschränkt und erfolgt nach dem „Need-to-know“-Prinzip, dem Grundsatz der Vertraulichkeit und dem Prinzip der geringsten Berechtigungen.

13. Integrationen

13.1. Umfang und Zwecke

Wenn Integrationen ausgewählt oder aktiviert werden, kann Coverflex personenbezogene Daten des Kunden über Kombo, SFTP oder eine andere dokumentierte Integration verarbeiten, um Daten aus dem HRIS, ERP oder der Lohnabrechnungsumgebung des Kunden zu erfassen und an diese zu übermitteln; autorisierte Administratoren zu authentifizieren und zu verbinden; vom Kunden ausgewählte Umfänge, Zuordnungen, benutzerdefinierte Felder, Filter und Weiterleitungen anzuwenden; sowie – sofern dies für den jeweiligen Markt und die ausgewählte Integration unterstützt wird – Onboarding, Offboarding, Gehaltsaktualisierungen, Aufstockungen und vom Arbeitgeber veranlasste Gehalts- oder Sozialleistungsberichte durchzuführen. Die Verarbeitung kann auch regelmäßige Synchronisierungen und Webhooks umfassen; die Validierung, Transformation, Abgleichung und Deduplizierung von Datensätzen; die Erstellung von Verarbeitungsbelegen und Fehlerberichten; die Pflege von Integrationsstatus- und Audit-Protokollen; sowie Support und Fehlerbehebung.

13.2. Kategorien von betroffenen Personen

Aktuelle und ehemalige Mitarbeiter, Arbeitnehmer und andere berechtigte Nutzer sowie Kundenadministratoren und bevollmächtigte Vertreter.

13.3. Kategorien personenbezogener Daten des Kunden

Je nach Markt, Betrieb und Kundenkonfiguration: Name; Mitarbeiter-, externe, Remote-HRIS-, Gruppen- oder Integrationskennung; Steuernummer, einschließlich NIF, DNI oder Codice Fiscale; E-Mail-Adresse und Telefonnummer; Geburtsdatum; Geschlecht; Staatsangehörigkeit; Adresse, Postleitzahl, Ort und Land; IBAN; Arbeitgeber, Unternehmen oder juristische Person und zugehörige Zuordnung; Steuerregion; Rolle, Vorgesetzter und andere zugeordnete HRIS-Felder; Beschäftigungs-, Eintritts-, Austritts- oder Kündigungsdaten; Gehalts- und flexible Vergütungsbeträge; Aufstockungs-, Verpflegungs-, Sozialleistungs-, Versicherungs- und Sozialhilfebeträge; Felder zu Sozialleistungsinanspruchnahme und Lohnabrechnungsberichten; Name auf der Karte; Integrationsauthentifizierungs- oder Autorisierungsdaten sowie Verbindungsmetadaten in Bezug auf autorisierte Kundenvertreter; und benutzerdefinierte Felder, die nicht zu den besonderen Datenkategorien gehören und vom Kunden im zulässigen Rahmen der Dienste ausgewählt und zugeordnet wurden.

13.4. Integrationsdatensätze und Anweisungen

Die Verarbeitung kann Originaldateien im Ein- oder Ausgang, Sandbox- oder Testdateien sowie Beispieldatensätze, strukturierte Datensätze, zugeordnete benutzerdefinierte Felder, Webhooks, Verarbeitungsbelege, Fehlerberichte, korrigierte oder neu generierte Berichte, Integrationskennungen, Audit- und Fehlerbehebungsprotokolle sowie geschützte Sicherungskopien umfassen. Die Aktivierung einer Integration und die Konfiguration der Berechtigungen, Bereiche, Zuordnungen, Filter, Verzeichnisse und Dateispezifikationen durch den Kunden sind Teil der dokumentierten Anweisungen des Kunden, sofern diese Anweisungen im zulässigen Umfang der Dienste bleiben und die in Abschnitt 8.1 genannten Kategorien ausschließen. Automatisierte Erstellungs-, Aktualisierungs- oder Offboarding-Maßnahmen werden auf der Grundlage der vom Kunden bereitgestellten, ausgewählten oder genehmigten Quelldateien, Felder, Datumsangaben, Status, Zuordnungen und Regeln durchgeführt. Der Kunde bleibt für deren Richtigkeit, Vollständigkeit und Eignung für den vorgesehenen Verwendungszweck verantwortlich.

13.5. Unterauftragsverarbeiter und Aufbewahrungsfristen

Jeder Integrationsanbieter, der personenbezogene Daten des Kunden verarbeitet, einschließlich gegebenenfalls Kombo, ist in Anhang 3 aufgeführt. Funktionsspezifische Aufbewahrungsfristen für Live-Systeme, Dateien, Protokolle und Sicherungskopien unterliegen weiterhin der Bestätigung im jeweiligen Aufbewahrungsplan und müssen mit Ziffer 13 sowie den gültigen Rückgabe- oder Löschanweisungen des Kunden im Einklang stehen.

‍

Anhang 2 – Technische und organisatorische Maßnahmen

Coverflex unterhält ein Informationssicherheitsprogramm, das zum Schutz der personenbezogenen Daten des Kunden konzipiert ist und in einem angemessenen Verhältnis zur Art und zu den Risiken der Verarbeitung steht. Die nachstehenden Maßnahmen beschreiben das aktuelle Kontrollrahmenwerk auf einem Niveau, das für vertragliche Verpflichtungen geeignet ist. Konkrete Umsetzungen können sich ändern, ohne das allgemeine Schutzniveau wesentlich zu mindern. Diese Maßnahmen dienen der Minderung von Sicherheitsrisiken, stellen jedoch keine Garantie dafür dar, dass jeder Sicherheitsvorfall verhindert werden kann.

1. Sicherheits-Governance und Risikomanagement

• 1.1. Dokumentierte Richtlinien zu Informationssicherheit, Datenschutz, Risikomanagement und Reaktion auf Vorfälle mit festgelegten Zuständigkeiten, Genehmigungswegen und regelmäßigen Überprüfungen.
• 1.2. Ein risikobasiertes Informationssicherheits-Managementsystem, das die Entwicklung, den Betrieb und die Wartung der SaaS-Anwendungen und -Produkte von Coverflex unterstützt.
• 1.3. Coverflex verfügt über die Zertifizierung nach ISO/IEC 27001:2022 für sein Informationssicherheits-Managementsystem innerhalb des im jeweiligen Zertifikat definierten Geltungsbereichs, vorbehaltlich einer laufenden Überwachung und fortwährenden Konformität.
• 1.4. Informationsressourcen, Systeme und Verarbeitungsvorgänge werden Verantwortlichen zugewiesen und entsprechend dem Risiko und der Datenklassifizierung bewertet.

2. Zugriffskontrolle und Authentifizierung

• 2.1. Rollenbasierte, auf dem „Need-to-know“-Prinzip und dem Prinzip der geringsten Berechtigungen basierende Zugriffskontrollen mit dokumentierter Genehmigung für den Zugriff auf relevante Systeme.
• 2.2. Eindeutige Benutzerkennungen, starke Authentifizierung und gegebenenfalls Multi-Faktor-Authentifizierung, einschließlich zentraler Identitätsverwaltung für unterstützte Systeme.
• 2.3. Prozesse für die Einrichtung, Änderung und regelmäßige Überprüfung von Konten sowie deren unverzügliche Sperrung nach Beendigung des Arbeitsverhältnisses oder bei einem Rollenwechsel.
• 2.4. Zusätzliche Kontrollmaßnahmen für privilegierten Zugriff, einschließlich eingeschränkter Administratorzugriffsrechte und der Protokollierung relevanter privilegierter Aktivitäten.
• 2.5. Logische Trennung zwischen Produktions- und Nicht-Produktionsumgebungen sowie zwischen Kundendaten auf der Anwendungs- oder Zugriffskontroll-Ebene, je nach Architektur.

3. Verschlüsselung und Schlüsselverwaltung

• 3.1. Verschlüsselung personenbezogener Kundendaten während der Übertragung unter Verwendung von TLS 1.2 oder höher, wobei TLS 1.3 verwendet wird, sofern unterstützt.
• 3.2. Verschlüsselung im Ruhezustand für unterstützte verwaltete Speicher, Datenbanken, Backups und vom Unternehmen verwaltete Endpunkte unter Verwendung einer AES-256-kompatiblen Verschlüsselung, sofern unterstützt.
• 3.3. Verwaltete Kontrollen für den Lebenszyklus kryptografischer Schlüssel, die die Generierung, Speicherung, den Zugriff, die Rotation, die Außerbetriebnahme und die Reaktion auf vermutete Kompromittierungen abdecken.
• 3.4. Einschränkung und Protokollierung des Zugriffs auf kryptografische Schlüssel durch Kontrollen nach dem Prinzip der geringsten Berechtigungen.

4. Infrastruktur-, Netzwerk- und Endpunktsicherheit

• 4.1. Netzwerkkontrollen, Firewalls und Schutzmaßnahmen für Webanwendungen, die der Cloud-Architektur und den identifizierten Risiken angemessen sind.
• 4.2. Sichere Konfigurationsrichtlinien, Umgebungstrennung, Änderungskontrollen und Absicherung relevanter Systeme.
• 4.3. Vom Unternehmen verwaltete Endgeräteschutzmaßnahmen, einschließlich Geräteverschlüsselung, Bildschirmsperre, Sicherheitsupdates und gegebenenfalls Kontrollen zur Geräteverwaltung.
• 4.4. Maßnahmen zur Erkennung und Verhinderung von unbefugtem Zugriff, böswilligen Aktivitäten und gängigen Angriffen auf Anwendungen oder die Infrastruktur.

5. Sichere Entwicklung und Änderungsmanagement

• 5.1. Ein dokumentierter, sicherer Softwareentwicklungslebenszyklus, der Entwurf, Entwicklung, Überprüfung, Test, Bereitstellung und Wartung umfasst.
• 5.2. Sicherheitsaspekte bei der Systemkonzeption und bei wesentlichen Änderungen, einschließlich Code-Review, Aufgabentrennung und automatisierter Sicherheitstests, sofern angemessen.
• 5.3. Kontrollierte Bereitstellungs- und Änderungsmanagementprozesse, einschließlich Rollback- und Behebungsverfahren.
• 5.4. Trennung oder Schutz von Testdaten sowie Einschränkungen bei der Verwendung von personenbezogenen Daten aus der Produktionsumgebung in Nicht-Produktionsumgebungen.

6. Protokollierung, Überwachung und Erkennung

• 6.1. Zentrale Erfassung und Überwachung relevanter Sicherheitsprotokolle, einschließlich Authentifizierungsereignissen, privilegierten Aktivitäten, Ereignissen im Zugriffslebenszyklus, Sicherheitswarnungen und Autorisierungsfehlern, soweit dies technisch machbar ist.
• 6.2. Zeitsynchronisation, Zugriffsbeschränkungen und Schutzmaßnahmen zur Wahrung der Integrität relevanter Protokolle.
• 6.3. Sicherheitswarnungen, Eskalationskriterien für Vorfälle und dokumentierte Reaktionsabläufe, die dem Schweregrad angemessen sind.
• 6.4. Kontrollen, die verhindern sollen, dass Passwörter, private Schlüssel, Geheimnisse und vollständige Zahlungskartendaten in Anwendungsprotokolle geschrieben werden.

7. Schwachstellenmanagement und Sicherheitstests

• 7.1. Risikobasierte Prozesse zur Identifizierung, Triage, Nachverfolgung und Behebung von Schwachstellen unter Verwendung geeigneter Scan-, Test-, Abhängigkeitsmanagement- und Berichtsquellen.
• 7.2. Regelmäßige unabhängige Penetrationstests relevanter Anwendungen oder der Infrastruktur sowie Nachverfolgung der Behebung auf der Grundlage von Schweregrad und Risiko.
• 7.3. Prozesse zur Bewertung und Behebung von Sicherheitshinweisen und Schwachstellen, die kritische Lieferanten oder Komponenten betreffen.

8. Reaktion auf Vorfälle und Management von Datenschutzverletzungen

• 8.1. Ein dokumentierter Lebenszyklus für die Reaktion auf Vorfälle, der die Vorbereitung, Erkennung, Analyse, Eindämmung, Beweissicherung, Beseitigung, Wiederherstellung, Kommunikation und Nachbetrachtung umfasst.
• 8.2. Definierte Eskalationsverfahren an die Bereiche Sicherheit, Recht, Compliance und Datenschutz/Datenschutzbeauftragter, wenn ein Vorfall personenbezogene Daten betreffen könnte.
• 8.3. Aufzeichnungen über Sicherheitsvorfälle sowie vermutete oder bestätigte Verletzungen des Schutzes personenbezogener Daten, einschließlich Risikobewertung, Abhilfemaßnahmen und gewonnener Erkenntnisse.
• 8.4. Prozesse zur Unterstützung vertraglicher und gesetzlicher Meldepflichten.

9. Verfügbarkeit, Datensicherung und Ausfallsicherheit

• 9.1. Ausfallsicherheit und Hochverfügbarkeitsmaßnahmen, die für kritische Systeme und Cloud-Dienste angemessen sind.
• 9.2. Geschützte Backups für kritische Datenspeicher mit eingeschränktem Zugriff, Überwachung, festgelegten Aufbewahrungsfristen und Schutzmaßnahmen gegen versehentliches Löschen oder böswillige Änderungen, sofern erforderlich.
• 9.3. Regelmäßige Wiederherstellungstests sowie dokumentierte Vorkehrungen zur Geschäftskontinuität und Notfallwiederherstellung.
• 9.4. Wiederherstellungsziele, Eskalationsverfahren und Zuständigkeiten, definiert entsprechend der Kritikalität der Dienste und der Auswirkungen auf den Geschäftsbetrieb.

10. Datenlebenszyklus, Datenminimierung und Datenentsorgung

• 10.1. Richtlinien zur Datenklassifizierung und -aufbewahrung mit Anforderungen an den Umgang mit Daten, die sich nach der Sensibilität sowie nach geschäftlichen oder rechtlichen Erfordernissen richten.
• 10.2. Erhebung und Zugriff beschränken sich auf Daten, die für den jeweiligen Zweck und den jeweiligen Dienst erforderlich sind.
• 10.3. Verfahren zur sicheren Löschung, Anonymisierung oder Entsorgung elektronischer und physischer Unterlagen, wenn eine Aufbewahrung nicht mehr erforderlich ist.
• 10.4. Sicherungsdaten werden von der regulären Verarbeitung ausgeschlossen und im Rahmen kontrollierter Lebenszyklusprozesse gelöscht.

11. Personalsicherheit und Sensibilisierung

• 11.1. Vertraulichkeitsverpflichtungen für Mitarbeiter, Auftragnehmer und anderes autorisiertes Personal.
• 11.2. Sensibilisierung und Schulungen zu Datenschutz und Informationssicherheit, die der jeweiligen Rolle und dem jeweiligen Risiko angemessen sind.
• 11.3. Prozesse für neue Mitarbeiter, Versetzungen und Austritte, die den Zugriff, die Ressourcen und die Verantwortlichkeiten regeln.
• 11.4. Disziplinar- und Vorfallmeldungsverfahren bei Verstößen gegen Sicherheitsanforderungen.

12. Sicherheit bei Lieferanten und Unterauftragsverarbeitern

• 12.1. Risikobasierte Bewertung und Genehmigung relevanter Dienstleister vor deren Einsatz.
• 12.2. Vertragliche Verpflichtungen in Bezug auf Datenschutz, Vertraulichkeit, Sicherheit, Meldung von Vorfällen, Löschung und Audits, die der Rolle und dem Risiko des Lieferanten angemessen sind.
• 12.3. Laufende Überwachung oder Neubewertung kritischer Anbieter und dokumentierte Behebung wesentlicher Feststellungen.

13. Physische Sicherheit

• 13.1. Eine „Remote-First“-Grundlage für die physische Sicherheit, die Unternehmensgeräte, Heim- oder gemeinsam genutzte Arbeitsbereiche, Reisen und physische Unterlagen abdeckt.
• 13.2. Anforderungen zum Schutz von Geräten und Informationen vor Diebstahl, Verlust, unbefugtem Zugriff, Manipulation und Beschädigung.
• 13.3. Sichere Handhabung und Entsorgung von physischen Dokumenten und Wechseldatenträgern, sofern diese verwendet werden.
• 13.4. Die physische und umgebungsbezogene Sicherheit von Cloud-Rechenzentren wird durch die Kontroll- und Sicherungsprogramme der jeweiligen Hosting-Anbieter gewährleistet.

14. Sicherstellung und kontinuierliche Verbesserung

• 14.1. Regelmäßige Überprüfung von Richtlinien, Risiken und der Wirksamkeit der Kontrollen.
• 14.2. Unabhängige Sicherungsmaßnahmen, darunter Zertifizierungsaudits, interne Audits, Penetrationstests und Lieferantenbewertungen.
• 14.3. Nachverfolgung und Behebung von Prüfungsfeststellungen, Sicherheitslücken und Korrekturmaßnahmen.

‍

Anhang 3 – Zugelassene Unterauftragsverarbeiter

Dieser Anhang 3 ist integraler Bestandteil des AVV und enthält die aktuelle Liste der gemäß Ziffer 10 zugelassenen Unterauftragsverarbeiter. Ein als funktionsspezifisch gekennzeichneter Unterauftragsverarbeiter ist nur dann zugelassen, wenn der Kunde den entsprechenden Dienst oder die entsprechende Funktion auswählt, aktiviert oder nutzt.

Der Kunde autorisiert die oben genannten Unterauftragsverarbeiter ab dem Datum des Inkrafttretens. Ergänzungen und Ersetzungen unterliegen Ziffer 10.3 und werden nach Ablauf der geltenden Kündigungsfrist in einer überarbeiteten Fassung dieses Anhangs 3 berücksichtigt, vorbehaltlich etwaiger gültiger Einwände.