Datenverarbeitungszusatz (DPA) – Sustalium

1. Definitionen

Begriffe, die in dieser DPA nicht definiert sind, haben die im MSA festgelegte Bedeutung.

• „Anwendbares Datenschutz-Gesetz“ bezeichnet die DSGVO (EU 2016/679), das niederländische DSGVO-Umsetzungsgesetz und alle anderen anwendbaren Datenschutzgesetze.
• „Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen und von Sustalium im Auftrag des Kunden verarbeitet werden.
• „Dienste“ bezeichnet die Compliance-Intelligence-Plattform von Sustalium und zugehörige Dienste.
• „Unterauftragsverarbeiter“ bezeichnet jeden Dritten, der von Sustalium mit der Verarbeitung personenbezogener Daten beauftragt wird.
• „SCCs“ bezeichnet die EU-Standardvertragsklauseln (2021/914).

2. Rollen der Parteien

• Der Kunde ist der Datenverantwortliche.
• Sustalium ist der Datenverarbeiter.
• Sustalium verarbeitet personenbezogene Daten nur auf dokumentierte Anweisung des Kunden.

3. Art, Zweck und Umfang der Verarbeitung

Sustalium verarbeitet personenbezogene Daten ausschließlich für:

• Bereitstellung des Zugangs zur Sustalium-Plattform
• Erstellen, Verifizieren und Veröffentlichen digitaler Compliance-Assets
• Verwalten von Benutzerkonten und Authentifizierung
• Pflege von Audit-Trails
• Bereitstellung von Kundensupport
• Gewährleistung der Plattformsicherheit und -resilienz

Sustalium ist <strong>branchenunabhängig</strong> und verarbeitet nur <strong>geschäftsbezogene personenbezogene Daten</strong>.

4. Kategorien personenbezogener Daten

Wie vom Kunden oder seinen Benutzern bereitgestellt:

• Namen der Mitarbeiter
• Geschäftliche E-Mail-Adressen
• Rollen und Berufsbezeichnungen
• Kontaktdaten des Lieferanten
• Benutzerkonto-IDs
• IP-Adressen und Gerätemetadaten
• Von Benutzern hochgeladene Compliance-Dokumente (können personenbezogene Daten enthalten)
• Prüfprotokolle und Zeitstempel

Sustalium verarbeitet <strong>keine</strong> Daten spezieller Kategorien.

5. Kategorien betroffener Personen

• Kundenmitarbeiter
• Mitarbeiter des Lieferanten
• Auftragnehmer
• Plattformbenutzer
• Prüfer (sofern Zugriff gewährt wird)

6. Pflichten des Auftragsverarbeiters

Sustalium soll:

7. Unterauftragsverarbeiter

Der Kunde ermächtigt Sustalium, die in Anhang III aufgeführten Unterauftragsverarbeiter zu nutzen.

• Stellen Sie sicher, dass Unterauftragsverarbeiter an gleichwertige Datenschutz-Verpflichtungen gebunden sind
• Benachrichtigen Sie den Kunden über alle beabsichtigten Änderungen
• Bleiben Sie für die Handlungen des Unterauftragsverarbeiters voll haftbar

8. Internationale Überweisungen

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• Es gelten die EU-Standardvertragsklauseln (SCCs) 2021, die als Anhang IV aufgenommen sind.
• Sustalium implementiert ergänzende Maßnahmen (Verschlüsselung, MFA, strenge Zugriffskontrolle).

9. Sicherheitsvorfälle

Sustalium wird den Kunden unverzüglich benachrichtigen, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird.

• Art des Verstoßes
• Kategorien betroffener Daten
• Wahrscheinliche Konsequenzen
• Getroffene oder vorgeschlagene Maßnahmen

10. Audits

Der Kunde kann die Einhaltung von Sustalium überprüfen:

• Einmal im Jahr
• Mit einer Frist von 30 Tagen
• Ohne den Betrieb zu stören
• Durch Dokumentationsprüfung oder unabhängigen Prüfer

11. Haftung

Die Haftung richtet sich nach dem MSA.

12. Geltendes Recht

Diese DPA unterliegt niederländischem Recht und Streitigkeiten sind den zuständigen Gerichten von Amsterdam, Niederlande vorzulegen.