DATA PROCESSING ADDENDUMZUSATZ ZUR DATENVERARBEITUNG

Last updated: June 20, 2023

Zuletzt aktualisiert: Juni 20, 2023

This Data Processing Addendum (hereinafter “DPA”)
forms part of the agreement between Centric Softwareand Customer (the “Agreement”) whereby Centric
Software is providing software licenses, maintenance,
hosting, and/or services to Customer (hereinafter the“Services”). This DPA shall be effective as of theEffective Date of the Agreement (“Effective Date”).

Dieser Zusatz zur Datenverarbeitung (Data Processing
Addendum, nachfolgend „DPA“) ist Teil desVereinbarung zwischen Centric Software und dem
Kunden (die „Vereinbarung“) abgeschlossen, wonach
Centric Software dem Kunden Softwarelizenzen,
Wartung, Hosting und/oder Dienste (nachfolgend die„Dienste“) zur Verfügung stellt. Dieser DPA tritt mit
dem Datum des Inkrafttretens der Vereinbarung in Kraft(„Datum des Inkrafttretens“).

1.

1.

Definitions

Definitionen“Applicable Data Protection Legislation” means any
data protection laws and all other regulations applicable
to Centric Software’s Processing of Customer’s Personal
Data under the Agreement (including as applicable the
EU Data Protection Legislation).

„Geltende Datenschutzgesetze“ bezeichnet alle
Datenschutzgesetze und alle anderen Vorschriften, die
auf die Verarbeitung der personenbezogenen Daten desKunden durch Centric Software im Rahmen der
Vereinbarung anwendbar sind (einschließlich, soweit
anwendbar, der EU-Datenschutzgesetze).

“Commission”, “Controller”, “Data Subject”,“Personal Data”, “Process/Processing” “Processor”,“Supervisory Authority” and “Personal Data
Breach” shall have the same meaning as in the GDPR.

„Kommission“, „Verantwortlicher“, „betroffene
Person“, „personenbezogene Daten“,„verarbeiten/Verarbeitung“, „Auftragsverarbeiter“,„Aufsichtsbehörde“ und „Datenschutzverletzung“
haben die gleiche Bedeutung wie in der DSGVO.

“Customer’s Personal Data” means any Personal Data
provided by Customer (or any Customer’s authorizeduser) to Centric Software through Customer’s use ofCentric Software’s Services, as detailed in Appendix 1“Description of Processing”.

„Personenbezogene Daten des Kunden“ bezeichnet
alle personenbezogenen Daten, die der Kunde (oder ein
vom Kunden autorisierter Benutzer) Centric Software im
Rahmen der Nutzung der Dienste von Centric Software
durch den Kunden zur Verfügung stellt, wie in
Anhang 1 „Beschreibung der Datenverarbeitung“beschrieben.

"EEA" means the European Economic Area, which
consists in European Union, Liechtenstein, Iceland andNorway.

„EWR“ bezeichnet den Europäischen Wirtschaftsraum,
der aus der Europäischen Union, Liechtenstein, Island
und Norwegen besteht.

“EU Data Protection Legislation” means as applicable
to Centric Software’s Processing of Customer’s Personal
Data (i) the General Data Protection Regulation (EU)2016/679 (“GDPR”) and any delegated andimplementing acts adopted in accordance with the
GDPR, (ii) the Swiss Federal Data Protection Act of 19
June 1992 and its Ordinance (“Swiss FDPA”); and (iii)in respect to the UK, the GDPR as saved into the United„EU-Datenschutzgesetze“ bezeichnet, soweit auf die
Verarbeitung der personenbezogenen Daten des Kunden
durch Centric Software anwendbar, (i) die DatenschutzGrundverordnung (EU) 2016/679 („DSGVO“) und alle
gemäß der DSGVO erlassenen delegierten Rechtsakte
und Durchführungsbestimmungen, (ii) das Schweizer
Bundesgesetz über den Datenschutz vom 19. Juni 1992
und seine Verordnung („Schweizer DSG“); und (iii) in

1
Centric Software – DPA 2023

Kingdom law by virtue of section 3 of the United
Kingdom’s European Union (Withdrawal) Act 2018(“UK GDPR”) and the UK Data Protection Act 2018
(together the “UK Data Protection Legislation”); in
each case as such laws may be amended or superseded
from time to time.

Bezug auf das Vereinigte Königreich die DSGVO in derForm, in der sie gemäß Abschnitt 3 des European Union(Withdrawal) Act 2018 des Vereinigten Königreichs(„britische DSGVO“) und des UK Data Protection
Act 2018 (zusammen die „britischen
Datenschutzgesetze“) in das Recht des Vereinigten
Königreichs übernommen wurde; jeweils in der Form, inder diese Gesetze von Zeit zu Zeit geändert oderabgelöst werden können.

“Public Authority” means a government agency or law
enforcement authority, including judicial authority.

„Behörde“ bezeichnet eine Regierungsbehörde odereine Strafverfolgungsbehörde, einschließlich einer
Justizbehörde.

“Restricted Transfer” means; (i) where the GDPR
applies, a Transfer of Customer’s Personal Data from the
EEA to a country outside of the EEA which is not
subject to an adequacy determination by the European
Commission; (ii) where the UK Data Protection
Legislation applies, a Transfer of Customer’s Personal
Data from the UK to any other country which is notbased on adequacy regulations pursuant to Section 17Aof the UK Data Protection Act 2018; and (iii) where the
Swiss FDPA applies, a Transfer of Customer’s Personal
Data to a country outside of Switzerland which is notincluded on the list of adequate jurisdictions publishedby the Swiss Federal Data Protection and Information
Commissioner.

„Eingeschränkte Übermittlung“ bezeichnet
Folgendes: (i) im Falle der Anwendung der DSGVO
eine Übermittlung der personenbezogenen Daten desKunden aus dem EWR in ein Land außerhalb des EWR,
das nicht Gegenstand einer
Angemessenheitsbestimmung der Europäischen
Kommission ist; (ii) im Falle der Anwendung derbritischen Datenschutzgesetze eine Übermittlung der
personenbezogenen Daten des Kunden aus dem
Vereinigten Königreich in ein anderes Land, die nicht
auf Angemessenheitsbestimmungen gemäß
Abschnitt 17A des UK Data Protection Act 2018 beruht;
und (iii) im Falle der Anwendung des Schweizer DSG
eine Übermittlung der personenbezogenen Daten desKunden in ein Land außerhalb der Schweiz, das nicht
auf der vom Eidgenössischen Datenschutz- undÖffentlichkeitsbeauftragten veröffentlichten Liste derangemessenen Rechtsordnungen aufgeführt ist.

“Standard Contractual Clauses” (SCCs) means theStandard Contractual Clauses (module 2: Controller toProcessor) pursuant to Commission implementing
decision (EU) 2021/914 of 4 June 2021.

„Standardvertragsklauseln“ (Standard Contractual
Clauses, SCCs) bezeichnet die Standardvertragsklauseln(Modul 2: Übermittlung von Verantwortlichen an
Auftragsverarbeiter) gemäß dem
Durchführungsbeschluss (EU) 2021/914 derKommission vom 4. Juni 2021.

“Sub-Processor” means any Processor appointed byCentric Software or by any other Centric Software’s
Sub-Processor, which receives, from Centric Software orfrom any other Centric Software’s Sub-Processor,
Customer’s Personal Data for the sole and exclusive
purpose of performing Processing on behalf of Customer
after the Transfer in accordance with the terms of thisAgreement and a written subcontract between such SubProcessor and the Processor.

„Unterauftragsverarbeiter“ bezeichnet jeden vonCentric Software oder einem anderen
Unterauftragsverarbeiter von Centric Software
beauftragten Auftragsverarbeiter, der von Centric
Software oder einem anderen Unterauftragsverarbeitervon Centric Software personenbezogene Daten desKunden zu dem alleinigen und ausschließlichen Zweck
erhält, die Datenverarbeitung im Namen des Kunden
nach der Übermittlung gemäß den Bedingungen dieser
Vereinbarung und eines schriftlichen Untervertrags
zwischen diesem Unterauftragsverarbeiter und dem
Auftragsverarbeiter durchzuführen.

“Technical and Organizational Measures” (TOMs)
means those appropriate measures available at Centric„Technische und organisatorische Maßnahmen“(TOMs) sind die unter Centric Software –2
Centric Software – DPA 2023

Software TOMs that are aimed at Processing Customer’s
Personal Data in compliance with the Applicable Data
Protection Legislation.

TOMs verfügbaren geeigneten Maßnahmen, die darauf
abzielen, die personenbezogenen Daten des Kunden inÜbereinstimmung mit den geltenden
Datenschutzgesetzen zu verarbeiten.

“Transfer” means (i) a transmission of Customer’s
Personal Data from Customer to Centric Software, or (ii)an onward transmission of Customer’s Personal Data
from Centric Software to a Sub-Processor, or between
two Sub-Processors.

„Übermittlung“ bezeichnet (i) eine Übermittlung der
personenbezogenen Daten des Kunden vom Kunden an
Centric Software oder (ii) eine Weiterübermittlung der
personenbezogenen Daten des Kunden von Centric
Software an einen Unterauftragsverarbeiter oderzwischen zwei Unterauftragsverarbeitern.

“Transfer Impact Assessment” means the transfer
impact assessment required pursuant to Clause 14 of theStandard Contractual Clauses which may be updated
from time to time by the parties with new or updated
information.

„Folgenabschätzung für die Übermittlung“ bezeichnet
die Folgenabschätzung für die Übermittlung, die gemäß
Klausel 14 der Standardvertragsklauseln erforderlich ist
und die von den Parteien von Zeit zu Zeit mit neuen oderaktualisierten Informationen aktualisiert werden kann.

“UK Addendum” means the International Data
Transfer Addendum to the EU Commission Standard
Contractual Clauses (version B1.0), in force 21 March2022 issued by the Information Commissioner’s Officeunder S.119(A) of the UK Data Protection Act 2018, as
updated or amended from time to time.

„Zusatz zum Vereinigten Königreich“ bezeichnet den
Zusatz für die Internationale Datenübermittlung zu denStandardvertragsklauseln der EU-Kommission(Version B1.0), gültig ab 21. März 2022, herausgegeben
vom Information Commissioner’s Office gemäß
S. 119(A) des UK Data Protection Act 2018, in derjeweils aktualisierten oder geänderten Fassung.

The word "include" shall be construed to mean include
without limitation, and cognate terms shall be construed
accordingly.

Das Wort „einschließen“ ist als „einschließlich, abernicht beschränkt auf“ zu verstehen, und verwandte
Begriffe sind entsprechend auszulegen.

Defined terms can be used in a singular or plural form.

Definierte Begriffe können sowohl im Singular als auchim Plural genutzt werden.

All other capitalized definitions in this DPA not
explicitly defined in this DPA shall have the same
meanings as defined in the Agreement, the GDPR or theother Applicable Data Protection Legislation, in thatorder of precedence.

Alle anderen in diesem DPA (im englischen Original)
mit einem Großbuchstaben beginnenden Begriffe, dienicht ausdrücklich in diesem DPA definiert sind, haben
die gleiche Bedeutung wie in der Vereinbarung, derDSGVO oder den anderen geltenden
Datenschutzgesetzen, und zwar in dieser Rangfolge.

2.

2.

Scope and Roles

This DPA applies where and only to the extent thatCentric Software Processes Customer’s Personal Data on
behalf of Customer in the course of providing its
Services to Customer and such Customer’s Personal
Data is subject to the Applicable Data Protection
Legislation. Accordingly, Customer is the Controller ofCustomer’s Personal Data and Centric Software shallProcess Customer’s Personal Data as Processor. Eachparty will separately comply with its obligations under
Applicable Data Protection Legislation when Processing
Personal Data as a Controller (or functionally equivalent

Anwendungsbereich und Rollen

Dieser DPA gilt, wenn und nur soweit Centric Software
im Rahmen der Erbringung ihrer Dienste für den
Kunden dessen personenbezogene Daten im Auftrag desKunden verarbeitet und die personenbezogenen Daten
des Kunden den geltenden Datenschutzgesetzen
unterliegen. Dementsprechend ist der Kunde der
Verantwortliche für die personenbezogenen Daten desKunden, und Centric Software verarbeitet die
personenbezogenen Daten des Kunden als
Auftragsverarbeiter. Jede Partei wird ihre
Verpflichtungen gemäß den geltenden

3
Centric Software – DPA 2023

role under Applicable Data Protection Legislation).

3.

Customer’s Processing of Customer’s Personal
Data

Customer acknowledges and agrees that it is and shall at
all times remain the sole Controller of Customer’s
Personal Data that will be Processed as part of its accessto and use of Centric Software’s Services. Customer is
responsible for the accuracy, quality and legality of the
Customer’s Personal Data. Customer warrants andrepresents to Centric Software that it has provided noticeand obtained all consents, permissions and rights
necessary for Centric Software and its Sub-Processors to
lawfully Process Customer’s Personal Data for the
purposes contemplated by the Agreement (including this
DPA). Customer shall be responsible for complying with
all Applicable Data Protection Legislation including, but
not limited to, (i) Transfer of Personal Data, (ii)information of Data Subjects and (iii) access,modification and deletion rights of Data Subjects.

4.

Centric Software’s Processing of Customer’s
Personal Data

To the maximum extent permitted by Applicable Data
Protection Legislation and for the duration of theProcessing of Customer’s Personal Data, Centric
Software will Process Customer’s Personal Data inaccordance with the Customer’s written reasonable
instructions which are detailed below, which shall in all
circumstances be consistent with such Agreement andthe Applicable Data Legislation. Customer instructs
Centric Software to Process Personal Data for thefollowing purposes: (i) Processing in accordance with
the Agreement (including this DPA), which includes
supplying the Services and preventing or addressing
service or technical issues; (ii) Processing initiated by
Customer’s User(s) in their use of the Services; (iii)
Processing to comply with other reasonable instructions
provided by Customer and/or Customer’s User(s) (e.g.,
via email) where such instructions are consistent with

Datenschutzgesetzen gesondert erfüllen, wenn sie
personenbezogene Daten als Verantwortlicher (oder ineiner funktional gleichwertigen Rolle gemäß den
geltenden Datenschutzgesetzen) verarbeitet.

3.

Verarbeitung der personenbezogenen Daten desKunden durch den Kunden

Der Kunde erkennt an und erklärt sich damit
einverstanden, dass er jederzeit der alleinige
Verantwortliche für die personenbezogenen Daten desKunden ist und bleibt, die im Rahmen seines Zugriffs
auf und seiner Nutzung der Dienste von Centric
Software verarbeitet werden. Der Kunde ist für die
Richtigkeit, Qualität und Rechtmäßigkeit derpersonenbezogenen Daten des Kunden verantwortlich.
Der Kunde garantiert und sichert Centric Software zu,
dass er alle Benachrichtigungen vorgenommen und alle
Einwilligungen, Erlaubnisse und Rechte eingeholt hat,
die notwendig sind, damit Centric Software und ihre
Unterauftragsverarbeiter die personenbezogenen Daten
des Kunden für die in der Vereinbarung (einschließlich
dieses DPA) vorgesehenen Zwecke rechtmäßig
verarbeiten können. Der Kunde ist für die Einhaltung
aller geltenden Datenschutzgesetze verantwortlich,einschließlich, aber nicht beschränkt auf (i) dieÜbermittlung personenbezogener Daten, (ii) die
Information der betroffenen Personen und (iii) die
Rechte der betroffenen Personen auf Zugriff, Änderung
und Löschung.

4.

Verarbeitung der personenbezogenen Daten desKunden durch Centric Software

Im größtmöglichen Umfang, den die geltenden
Datenschutzgesetze zulassen, und für die Dauer der
Verarbeitung der personenbezogenen Daten des Kunden
wird Centric Software die personenbezogenen Daten desKunden in Übereinstimmung mit den nachstehend
aufgeführten, angemessenen schriftlichen Anweisungendes Kunden verarbeiten, die unter allen Umständen mit
dieser Vereinbarung und den geltenden
Datenschutzgesetzen in Einklang stehen müssen. Der
Kunde weist Centric Software an, personenbezogene
Daten zu folgenden Zwecken zu verarbeiten: (i)Verarbeitung in Übereinstimmung mit der Vereinbarung(einschließlich dieses DPA), einschließlich derErbringung der Dienste und der Verhinderung oder
Behebung von Service- oder technischen Problemen; (ii)
Verarbeitung auf Veranlassung des/der Benutzer(s) desKunden bei der Nutzung der Dienste; (iii) Verarbeitung

4
Centric Software – DPA 2023

the terms of the Agreement and Applicable Data
Protection Legislation; and (iv) as otherwise required byapplicable law. The Agreement and this DPA, alongwith Customer’s configuration and use of the Services,
are Customer's complete and final instructions to Centric
Software in relation to the Processing of Customer’s
Personal Data, including for purposes of the Standard
Contractual Clauses, and any Processing required
outside of the scope of these instructions (inclusive of
the rights and obligations set forth under the Agreement)
will require prior written agreement of the parties.
Appendix 1 “Description of Processing” to this DPA
sets out certain information regarding Centric Software’s
Processing of Customer’s Personal Data notably as
required by the article 28(3) of the GDPR.

5.

Access to Customer’s Personal Data

Centric Software will ensure that access to Customer’s
Personal Data is limited to its employees, agents orcontractors and those of its affiliates who need to know
the relevant Customer’s Personal Data, as necessary forthe purposes of the Agreement and who are bound by anappropriate obligation of confidentiality.

6.

Customer’s Personal Data Breach

zur Erfüllung anderer angemessener Anweisungen desKunden und/oder des/der Benutzer(s) des Kunden (z. B.
per E-Mail), sofern diese Anweisungen mit den
Bestimmungen der Vereinbarung und den geltenden
Datenschutzgesetzen übereinstimmen; und (iv) wie
anderweitig durch geltendes Recht vorgeschrieben. Die
Vereinbarung und dieser DPA sowie die Konfiguration
und Nutzung der Dienste durch den Kunden stellen die
vollständigen und endgültigen Anweisungen des Kunden
an Centric Software in Bezug auf die Verarbeitung der
personenbezogenen Daten des Kunden dar, auch für die
Zwecke der Standardvertragsklauseln, und jede überdiese Anweisungen hinausgehende Datenverarbeitung(einschließlich der in der Vereinbarung festgelegten
Rechte und Pflichten) bedarf der vorherigen schriftlichen
Vereinbarung zwischen den Parteien. Anhang 1„Beschreibung der Datenverarbeitung“ zu diesem
DPA enthält bestimmte Informationen über die
Verarbeitung der personenbezogenen Daten des Kunden
durch Centric Software, wie sie insbesondere in
Artikel 28(3) der DSGVO vorgeschrieben sind.

5.

Zugriff auf die personenbezogenen Daten desKundenCentric Software stellt sicher, dass der Zugriff auf die
personenbezogenen Daten des Kunden auf seine
Mitarbeiter, Beauftragten oder Auftragnehmer sowie auf
diejenigen seiner verbundenen Unternehmen beschränkt
ist, die die betreffenden personenbezogenen Daten desKunden kennen müssen, soweit dies für die Zwecke derVereinbarung erforderlich ist, und die einer
angemessenen Verpflichtung zur Vertraulichkeit
unterliegen.

6.

Datenschutzverletzung mit Auswirkungen auf
den Kunden

If Centric Software has reason to believe that a Personal
Data Breach impacting Customer’s Personal Data which
Centric Software is Processing has occurred, Centric
Software will: (i) notify Customer of the Persona Data
Breach without undue delay after becoming aware ofsuch Personal Data Breach and (ii) provide Customer
with available information allowing it to comply with its
notification obligations with the competent supervisory
authority. Such notification is not an acknowledgementof fault or responsibility.

Wenn Centric Software Grund zu der Annahme hat, dasseine Datenschutzverletzung vorliegt, die sich auf
personenbezogene Daten des Kunden auswirkt, dieCentric Software verarbeitet, wird Centric Software: (i)den Kunden unverzüglich nach Bekanntwerden derDatenschutzverletzung benachrichtigen und (ii) dem
Kunden die verfügbaren Informationen zur Verfügung
stellen, die es ihm ermöglichen, seinen Meldepflichten
gegenüber der zuständigen Aufsichtsbehörde
nachzukommen. Eine solche Benachrichtigung ist keine
Anerkennung von Schuld oder Verantwortung.

In case of a Customer’s Personal Data Breach and prior

Der Kunde erklärt sich damit einverstanden, Centric5Centric Software – DPA 2023

to making any required public statement or required
notice, Customer agrees to timely provide Centric
Software with a draft for discussion on the content of its
intended required public statements or required notices
for the affected Data Subjects and/or required notices tothe relevant regulators regarding Customer’s Personal
Data Breach to the extent such public statements ornotices identify Centric Software by name or relate toCentric Software’s Services. This draft shall be
discussed in a timely fashion and in good faith between
the parties. Notwithstanding the preceding sentence,
Customer shall not be required to prejudice its
obligations under Applicable Data Protection
Legislation.

7.

Centric Software’s Assistance.

Software im Falle einer Datenschutzverletzung mit
Auswirkungen auf den Kunden vor der Abgabe einer
erforderlichen öffentlichen Erklärung oder einer
erforderlichen Mitteilung rechtzeitig einen Entwurf zur
Diskussion über den Inhalt seiner beabsichtigten
erforderlichen öffentlichen Erklärungen odererforderlichen Mitteilungen für die betroffenen Personen
und/oder der erforderlichen Mitteilungen an die
zuständigen Aufsichtsbehörden in Bezug auf die
Datenschutzverletzung mit Auswirkungen auf den
Kunden zur Verfügung zu stellen, soweit dieseöffentlichen Erklärungen oder Mitteilungen Centric
Software namentlich nennen oder sich auf die Dienste
von Centric Software beziehen. Dieser Entwurf wird
rechtzeitig und in gutem Glauben zwischen den Parteien
besprochen. Ungeachtet des vorstehenden Satzes ist derKunde nicht verpflichtet, seine Verpflichtungen aus dengeltenden Datenschutzgesetzen zu verletzen.
7.

Unterstützung durch Centric Software.

7.1. General assistance. Centric Software willreasonably assist Customer in complying with
its obligations as Controller under sections 32
through 36 of the GDPR, taking into accountthe nature of Processing as described in theAgreement and as described in this DPA.

7.1. Allgemeine Unterstützung. Centric Software
wird den Kunden in angemessener Weise bei
der Erfüllung seiner Pflichten als
Verantwortlicher gemäß Abschnitt 32 bis 36
der DSGVO unterstützen, wobei die Art derDatenverarbeitung, wie in der Vereinbarung
und in diesem DPA beschrieben,
berücksichtigt wird.

7.2. Audit. Centric Software will make available to
Customer all necessary information in its
possession to demonstrate Centric Software’s
compliance with its obligations provided forby the Applicable Data Protection Legislation
to the extent it relates to the Processing byCentric Software of Customer’s Personal Data
as Controller. Centric Software uses external
auditors to verify the adequacy of its security
measures with respect to its Processing ofCustomer’s Personal Data. Such audits are
performed at least once per year during theterm of the Agreement at Centric Software’s
expense, by an independent third-party
security professional at Centric Software’s sole
selection and result in the generation of aconfidential audit report (“Audit Report”).
Either on Centric Software Security andData Privacy Website or upon priorwritten request at reasonable intervals andsubject to the confidentiality provisions of theAgreement, Centric Software shall make7.2. Audit. Centric Software stellt dem Kunden allenotwendigen Informationen zur Verfügung,die sich im Besitz des Unternehmens befinden,
um nachzuweisen, dass Centric Software
seinen Verpflichtungen gemäß den geltenden
Datenschutzgesetzen nachkommt, soweit sie
sich auf die Verarbeitung der
personenbezogenen Daten des Kunden durch
Centric Software als Verantwortlicher
beziehen. Centric Software nutzt externe
Prüfer, um die Angemessenheit ihrer
Sicherheitsmaßnahmen in Bezug auf die
Verarbeitung der personenbezogenen Daten
des Kunden zu überprüfen. Diese Audits
werden während der Laufzeit der
Vereinbarung mindestens einmal pro Jahr auf
Kosten von Centric Software von einem
unabhängigen externen Sicherheitsexperten
nach alleiniger Wahl von Centric Software
durchgeführt und führen zur Erstellung eines
vertraulichen Auditberichts („Auditbericht“).
Entweder auf der Website für Sicherheit

6
Centric Software – DPA 2023

available to Customer information regarding
Centric Software’s compliance with the
obligations set forth in this DPA in the form ofa copy of the summary of the then-current
Audit Report. Such third-party audits orcertifications may also be shared with
Customer’s competent supervisory authority
on its request. In the event compliance with
Applicable Data Protection Legislation cannot
be shown through the appropriate
documentation provided by Centric Software,
Centric Software will allow for an audit. Suchaudits will be subject to the following
cumulative conditions:und Datenschutz von Centric Softwareoder auf vorherige schriftliche Anfrage inangemessenen Abständen und vorbehaltlichder Vertraulichkeitsbestimmungen der
Vereinbarung stellt Centric Software dem
Kunden Informationen über die Einhaltung der
in diesem DPA dargelegten Verpflichtungendurch Centric Software in Form einer Kopie
der Zusammenfassung des zu diesem
Zeitpunkt aktuellen Auditberichts zur
Verfügung. Solche Audits oder
Zertifizierungen durch Dritte können auf
Anfrage auch an die zuständige
Aufsichtsbehörde des Kunden weitergegeben
werden. Für den Fall, dass die Einhaltung dergeltenden Datenschutzgesetze nicht durch die
von Centric Software zur Verfügung gestellte
angemessene Dokumentation nachgewiesen
werden kann, wird Centric Software ein Audit
zulassen. Solche Audits unterliegen den
folgenden kumulativen Bedingungen:oCustomer shall provide Centric
Software with at least thirty (30) days
prior written notice;o

Der Kunde muss Centric Softwaremindestens dreißig (30) Tage im
Voraus schriftlich informieren;othe scope of such audit shall be limited
to both: (a) Customer’s Personal Data
Processing activities and storage
facilities operated by Centric Softwareand (b) assessing Centric Software’s
compliance with the Applicable Data
Protection Legislation in the specificsubject area where the documentation
provided by Centric Software was not
sufficient. Centric Software shall havethe right to reasonably adapt the scopeof any audit to avoid or mitigate risks
with respect to, and including, service
levels, availability, and confidentialityof other Centric Software’s customers’
information;o

Der Umfang eines solchen Auditsbeschränkt sich sowohl auf: (a) die
von Centric Software betriebenen
Aktivitäten zur Verarbeitung
personenbezogener Daten des Kunden
und die entsprechenden
Speicheranlagen als auch auf (b) die
Bewertung der Einhaltung dergeltenden Datenschutzgesetze durch
Centric Software in dem spezifischen
Themenbereich, in dem die vonCentric Software bereitgestellte
Dokumentation nicht ausreichend war.
Centric Software hat das Recht, den
Umfang eines Audits in angemessener
Weise anzupassen, um Risiken in
Bezug auf und einschließlich derDienstqualität, der Verfügbarkeit undder Vertraulichkeit von Informationen
anderer Kunden von Centric Software
zu vermeiden oder zu mindern;osuch audit shall be conducted by anindependent auditor that is not aCentric Software competitor at
Customer’s cost. Prior to the audit,
such independent auditor shall enter
into a non-disclosure agreemento

Ein solches Audit wird von einem
unabhängigen Prüfer, der kein
Konkurrent von Centric Software ist,
auf Kosten des Kunden durchgeführt.
Vor dem Audit muss dieser
unabhängige Prüfer eine

7
Centric Software – DPA 2023

containing confidentiality provisions
no less protective than those set forthin the Agreement to protect Centric
Software’s proprietary information;o8.

Geheimhaltungsvereinbarungabschließen, die nicht weniger strenge
Vertraulichkeitsbestimmungen enthält
als die in der Vereinbarung
festgelegten, um die geschützten
Informationen von Centric Software
zu schützen;osuch audits may not be performed
more than once every twelve (12)months.

Solche Audits dürfen nicht öfter als
einmal alle zwölf (12) Monate
durchgeführt werden.

All information gathered during the audit aswell as the audit report created from the audit
is confidential and cannot be divulged to third
parties (unless mandated by applicable law)
without Centric Software’s prior writtenconsent. Customer must promptly provide
Centric Software with information regarding
any non-compliance discovered during thecourse of an audit.

Alle im Rahmen des Audits gesammelten
Informationen sowie der aus dem Audit
erstellte Auditbericht sind vertraulich unddürfen ohne die vorherige schriftliche
Einwilligung von Centric Software nicht an
Dritte weitergegeben werden (es sei denn, dies
ist durch geltendes Recht vorgeschrieben). Der
Kunde muss Centric Software unverzüglichüber alle Verstöße informieren, die im Laufeeines Audits festgestellt werden.

7.3. Data Protection Impact Assessment and Prior
Consultation. So long as Customer does nototherwise have access to the relevant
information, and to the extent such information
is available to Centric Software, Centric
Software shall provide reasonable assistance toCustomer needed to fulfil Customer’s
obligation under Applicable Data Protection
Legislation to carry out a data protection
impact assessment related to Customer’s use of
the Service (at Customer’s expense only ifsuch reasonable cooperation will require
Centric Software to assign significant
resources to that effort) or prior consultations
with supervisory authorities as required by
Applicable Data Protection Legislation.

7.3. Datenschutz-Folgenabschätzung und vorherige
Konsultation. Solange der Kunde nicht
anderweitig Zugriff auf die relevanten
Informationen hat und soweit diese
Informationen Centric Software zur Verfügung
stehen, unterstützt Centric Software den
Kunden in angemessener Weise bei der
Erfüllung seiner Verpflichtung gemäß den
geltenden Datenschutzgesetzen zur
Durchführung einer DatenschutzFolgenabschätzung im Zusammenhang mit der
Nutzung des Dienstes durch den Kunden (aufKosten des Kunden nur dann, wenn Centric
Software im Rahmen dieser angemessenen
Zusammenarbeit erhebliche Ressourcen
aufwenden muss) oder bei der vorherigen
Konsultation von Aufsichtsbehörden, wie es
die geltenden Datenschutzgesetze
vorschreiben.

Data Subjects Rights

When Centric Software receives a request from a Data
Subject for access to, correction, update or erasure of
their Personal Data or a request to restrict Processing(“Data Subject Request”), Centric Software will, to the8.

Rechte der betroffenen Personen

Wenn Centric Software einen Antrag einer betroffenen
Person auf Auskunft, Berichtigung, Aktualisierung oder
Löschung ihrer personenbezogenen Daten oder einen
Antrag auf Einschränkung der Datenverarbeitung erhält

8
Centric Software – DPA 2023

extent legally permitted, promptly notify Customer andredirect Data Subject Request to Customer.

(„Antrag einer betroffenen Person“), wird Centric
Software, soweit gesetzlich zulässig, den Kunden
unverzüglich informieren und den Antrag einer
betroffenen Person an den Kunden weiterleiten.

To the extent Customer does not have the ability to
independently correct, amend, or delete Customer’s
Personal Data, or block or restrict Processing ofCustomer’s Personal Data, then at Customer’s written
direction and to the extent required by Applicable Data
Protection Legislation, Centric Software, as Processor,
shall assist Customer to fulfil its obligations in
responding to requests from Data Subjects to exercise
their rights under Applicable Data Protection Legislation
in a manner consistent with the performance of theAgreement. To the extent legally permitted, Customer
shall be responsible for any reasonable costs arisingfrom Centric Software’s or its Sub-Processors’ provisionof such assistance.

Soweit der Kunde nicht in der Lage ist, diepersonenbezogenen Daten des Kunden eigenständig zu
korrigieren, zu ändern oder zu löschen oder die
Verarbeitung der personenbezogenen Daten des Kundenzu sperren oder einzuschränken, unterstützt Centric
Software als Auftragsverarbeiter den Kunden auf
schriftliche Anweisung des Kunden und in dem Umfang,
in dem die geltenden Datenschutzgesetze diesvorschreiben, bei der Erfüllung seiner Pflichten zur
Beantwortung von Anträgen betroffener Personen auf
Ausübung ihrer Rechte gemäß den geltenden
Datenschutzgesetzen in einer Weise, die mit der
Vereinbarung vereinbar ist. Soweit gesetzlich zulässig,
ist der Kunde für alle zumutbaren Kosten verantwortlich,
die Centric Software oder ihren
Unterauftragsverarbeitern durch die Bereitstellung einersolchen Unterstützung entstehen.

9.

9.

Sub-Processing

Unterauftragsverarbeitung

9.1
Centric Software is a worldwide multi-tieredorganization, located in the Americas, Asia and Europe.
In that globalized context, in order for Centric Software
to provide the Services, Customer appoints Centric
Software as Processor and agrees that Customer’s
Personal Data may be Transferred to, stored, accessed
and Processed in any country in which Centric Softwareor its subcontractors are located. Centric Software will
ensure that data protection obligations no less stringent
than those set forth in this DPA shall be imposed on the
Sub-Processors by way of a contract and/or the standard
contractual clauses from the European Commission insuch a manner that the Processing will meet therequirements of the Applicable Data Protection
Legislation.

9.1
Centric Software ist ein weltweit tätiges,
mehrstufig aufgebautes Unternehmen mit
Niederlassungen in Amerika, Asien und Europa. Damit
Centric Software die Dienste global erbringen kann,beauftragt der Kunde Centric Software als
Auftragsverarbeiter und erklärt sich damit einverstanden,
dass die personenbezogenen Daten des Kunden in jedes
Land, in dem Centric Software oder ihre
Unterauftragnehmer ansässig sind, übermittelt, dort
gespeichert, abgerufen und verarbeitet werden können.
Centric Software stellt sicher, dass den
Unterauftragsverarbeitern durch einen Vertrag und/oder
die Standardvertragsklauseln der Europäischen
Kommission Datenschutzverpflichtungen auferlegt
werden, die nicht weniger streng sind als die in diesem
DPA dargelegten, so dass die Datenverarbeitung den
Anforderungen der geltenden Datenschutzgesetze
entspricht.

The list of the Sub-Processors, that may be involved in
the Processing of Customer’s Personal Data due to theProcessing activities implemented on behalf of Customer
and authorized by Customer at the Effective Date of this
DPA is set forth at Centric Software List of Sub-

Die Liste der Unterauftragsverarbeiter, die aufgrund derim Namen des Kunden durchgeführten und vom Kundenzum Datum des Inkrafttretens dieses DPA genehmigten
Verarbeitungsaktivitäten an der Verarbeitung der
personenbezogenen Daten des Kunden beteiligt sein

9
Centric Software – DPA 2023

Processors.

können, ist unter Centric Software – Liste derUnterauftragsverarbeiter aufgeführt.

9.2.
Centric Software will inform Customer of any
intended changes concerning the addition of new SubProcessors or replacement of existing Sub-Processors,
thereby giving Customer the opportunity to object tosuch changes. Customer will be notified at least fifteen(15) days in advance before Centric Software authorizes
any new Sub-Processor to Process Customer’s Personal
Data, except in case of emergency. Customer may
reasonably object to Centric Software’s use of a new
Sub-Processor if (i) such new Sub-Processor Processes
Customer’s Personal Data and (ii) Customer
demonstrates it has a legitimate interest in objecting tothis new Sub- Processor and notifies Centric, in writing,within fifteen (15) days after receipt of the notification.
In the absence of an objection from Customer, the new
Sub-Processor shall be deemed to be accepted by
Customer. If Customer notifies Centric Software of its
objection to the new Sub-Processor within the above
timeframe, the parties will discuss Customer’s concerns
in good faith with a view to achieve resolution. If
Customer can reasonably demonstrate the new Subprocessor is unable to Process Customer’s Personal Datain compliance with the terms of this DPA and Centric
Software cannot provide an alternative Sub-Processor, or
the parties are not otherwise able to achieve resolution asprovided in the preceding sentence within thirty (30)days, Customer, as its sole and exclusive remedy, may
terminate those specific elements of the Centric
Software Services impacted by this change of SubProcessor before the end of the notice period specified
herein.

9.2.
Centric Software wird den Kunden über allebeabsichtigten Änderungen in Bezug auf die Aufnahme
neuer Unterauftragsverarbeiter oder die Ersetzung
bestehender Unterauftragsverarbeiter informieren unddem Kunden so die Möglichkeit geben, gegen dieseÄnderungen Einwand zu erheben. Der Kunde wird
mindestens fünfzehn (15) Tage im Voraus
benachrichtigt, bevor Centric Software einen neuen
Unterauftragsverarbeiter mit der Verarbeitung der
personenbezogenen Daten des Kunden beauftragt, es seidenn, es handelt sich um einen Notfall. Der Kunde kannin angemessener Weise Einwand gegen den Einsatz
eines neuen Unterauftragsverarbeiters durch Centric
Software erheben, wenn (i) dieser neue
Unterauftragsverarbeiter personenbezogene Daten desKunden verarbeitet und (ii) der Kunde nachweist, dass er
ein berechtigtes Interesse daran hat, gegen diesen neuen
Unterauftragsverarbeiter Einwand zu erheben, undCentric innerhalb von fünfzehn (15) Tagen nach Erhalt
der Benachrichtigung schriftlich darüber informiert.
Erhebt der Kunde keinen Einwand, so gilt der neue
Unterauftragsverarbeiter als vom Kunden akzeptiert.
Wenn der Kunde Centric Software innerhalb des oben
genannten Zeitrahmens über seinen Einwand gegen den
neuen Unterauftragsverarbeiter informiert, werden die
Parteien die Bedenken des Kunden nach Treu undGlauben besprechen, um eine Lösung zu finden. Wenn
der Kunde hinreichend nachweisen kann, dass der neue
Unterauftragsverarbeiter nicht in der Lage ist, diepersonenbezogenen Daten des Kunden inÜbereinstimmung mit den Bedingungen dieses DPA zu
verarbeiten, und Centric Software keinen alternativen
Unterauftragsverarbeiter auffinden kann, oder wenn die
Parteien nicht in der Lage sind, innerhalb von dreißig(30) Tagen eine andere Lösung im Sinne desvorstehenden Satzes zu finden, kann der Kunde als
einziges und ausschließliches Rechtsmittel die Elemente
der Centric Software-Dienste, die von diesem Wechseldes Unterauftragsverarbeiters betroffen sind, vor Ablauf
der hier angegebenen Kündigungsfrist kündigen.

10. Security

10. Sicherheit

Centric Software will implement and maintainappropriate TOMs,. Such TOMs are designed to protect
Customer’s Personal Data from a Personal Data Breachand to help ensure the ongoing confidentiality, integrity,
and availability of the Customer’s Personal Data andCentric Software wird angemessene TOMs umsetzen
und aufrechterhalten. Diese TOMs sollen die
personenbezogenen Daten des Kunden vor einer
Datenschutzverletzung schützen und dazu beitragen, die
fortlaufende Vertraulichkeit, Integrität und

10
Centric Software – DPA 2023

Processing systems.

Verfügbarkeit der personenbezogenen Daten und derDatenverarbeitungssysteme des Kunden sicherzustellen.

Customer acknowledges that the Centric Software
TOMs are subject to technical progress and development
and that Centric Software may update or modify themfrom time to time provided that such updates andmodifications do not result in the degradation of theoverall security of the measures implemented by Centric
Software.

Der Kunde erkennt an, dass die TOMs von Centric
Software dem technischen Fortschritt und derEntwicklung unterliegen und dass Centric Software sievon Zeit zu Zeit aktualisieren oder ändern kann, sofern
diese Aktualisierungen und Änderungen nicht zu einer
Verschlechterung der Gesamtsicherheit der von Centric
Software umgesetzten Maßnahmen führen.

The TOMs may also be completed by specific terms as
detailed in the Documentation associated to each releaseof the Software p and/or Services ordered by Customer.

Die TOMs können auch durch spezifische Bedingungenergänzt werden, die in der Dokumentation zu jeder vom
Kunden bestellten Version der Software und/oder
Dienste aufgeführt sind.

Customer is responsible for reviewing the information
Centric Software makes available regarding its TOMs
and data security, including its Audit Reports, and formaking an independent determination as to whether theServices meet the Customer’s requirements and legal
obligations, including its legal obligations under the
Applicable Data Protection Legislation.

Es liegt in der Verantwortung des Kunden, die vonCentric Software zur Verfügung gestellten
Informationen über die TOMs und die Datensicherheit,
einschließlich der Auditberichte, zu überprüfen und eine
unabhängige Entscheidung darüber zu treffen, ob die
Dienste den Anforderungen und rechtlichen
Verpflichtungen des Kunden entsprechen, einschließlich
seiner rechtlichen Verpflichtungen im Rahmen dergeltenden Datenschutzgesetze.

11. International Provisions

11. Internationale Bestimmungen11.1. Jurisdiction Specific Terms. To the extent
Centric Software process Customer’s Personal
Data originating from and protected by any
Application Data Protection Legislation in oneof the jurisdictions listed in Appendix 2“Jurisdiction Specific Terms” of this DPA,
the terms specified in Appendix 2“Jurisdiction Specific Terms” with respect tothe applicable jurisdiction(s) apply in addition
to the terms of this DPA.

11.1. Rechtsordnungsspezifische Bestimmungen.
Soweit Centric Software personenbezogene
Daten des Kunden verarbeitet, die aus einer
der in Anhang 2„Rechtsordnungsspezifische
Bestimmungen“ dieses DPA aufgeführten
Rechtsordnungen stammen und durch dortige
Datenschutzgesetze geschützt sind, gelten
zusätzlich zu den Bestimmungen dieses DPA
die in Anhang 2 „Rechtsordnungsspezifische
Bestimmungen“ aufgeführten Bestimmungenhinsichtlich der anwendbaren
Rechtsordnung(en).

11.2. Restricted Transfers. Either party may makeRestricted Transfers if it complies with theprovisions on Restricted Transfers inapplicable EU Data Protection Legislation andthis DPA. To the extent Customer’s use of the

11.2. Eingeschränkte Übermittlungen. Jede Partei
kann eingeschränkte Übermittlungenvornehmen, wenn sie die Bestimmungen übereingeschränkte Übermittlungen in den
geltenden EU-Datenschutzgesetzen und

11
Centric Software – DPA 2023

Services requires an onward transfer
mechanism to lawfully transfer Customer’s
Personal Data from an European jurisdiction(i.e., the European Economic Area, the United
Kingdom, Switzerland) to Centric Software
located outside of that jurisdiction (“Transfer
Mechanism”), the terms set forth in Appendix
3 “International Transfer Mechanisms” ofthis DPA will apply.

diesem DPA einhält. Soweit die Nutzung derDienste durch den Kunden einen
Weiterübermittlungsmechanismus erfordert,um die personenbezogenen Daten des Kunden
aus einer europäischen Rechtsordnung (d. h.
dem Europäischen Wirtschaftsraum, dem
Vereinigten Königreich, der Schweiz)
rechtmäßig an Centric Software außerhalb
dieser Rechtsordnung zu übermitteln(„Übermittlungsmechanismus“), gelten die
in Anhang 3 „InternationalerÜbermittlungsmechanismus“ dieses DPA
dargelegten Bedingungen.

12. Term and termination of this DPA

12. Laufzeit und Kündigung dieses DPAThis DPA comes into force on the Effective Date, as
specified above, and will continue for the term of theAgreement.

Dieser DPA tritt, wie oben angegeben, am Datum desInkrafttretens in Kraft und gilt für die Dauer der
Vereinbarung.

Upon termination or expiration of the Agreement,
Centric Software will:

Bei Kündigung oder Ablauf der Vereinbarung wird
Centric Software:•at Customer’s option, either delete or return all
Customer’s Personal Data to Customer; and•nach Wahl des Kunden alle personenbezogenen
Daten des Kunden entweder löschen oder an
den Kunden zurückgeben; und•delete all existing copies, of Customer’s
Personal Data in its possession in accordancewith the terms and timelines of such
Agreement, except (i) where applicable law
requires retention of Customer’s Personal Dataor where Customer’s Personal Data is necessaryfor evidentiary purposes during the applicablestatute of limitations, and (ii) except for
automated system backup copies that may notwith reasonable efforts be destroyed, provided,
however, that such copies are not accessed orused by Centric Software and are destroyed indue course in accordance with Centric
Software’s standard document destruction
policies and practices.

•

alle bestehenden Kopien der
personenbezogenen Daten des Kunden, die sichim Besitz von Centric Software befinden, inÜbereinstimmung mit den Bedingungen und
Fristen dieser Vereinbarung löschen, außer (i)wenn das geltende Recht die Aufbewahrung der
personenbezogenen Daten des Kundenvorschreibt oder wenn die personenbezogenen
Daten des Kunden während der geltenden
Verjährungsfrist zu Beweiszwecken benötigt
werden, und (ii) mit Ausnahme vonautomatisierten System-Backup-Kopien, dienicht mit vertretbarem Aufwand vernichtet
werden können, vorausgesetzt jedoch, dasssolche Kopien nicht von Centric Software
abgerufen oder genutzt werden und zu
gegebener Zeit in Übereinstimmung mit den
Standard-Richtlinien und -Verfahren vonCentric Software zur Dokumentenvernichtung
vernichtet werden.

In any event, Centric Software will maintain Customer’s

In jedem Fall wird Centric Software die

12Centric Software – DPA 2023

Personal Data securely and protect it from any further
Processing for as long as Centric Software retains such
Personal Data. The terms of this DPA shall survive forso long as Centric Software continues to retain any of
Customer’s Personal Data.

personenbezogenen Daten des Kunden sicher
aufbewahren und sie vor jeder weiteren
Datenverarbeitung schützen, solange Centric Softwarediese personenbezogenen Daten aufbewahrt. Die
Bedingungen dieses DPA gelten so lange, wie Centric
Software personenbezogene Daten des Kunden
aufbewahrt.

13. Liability

13. HaftungAny claims arising out of, in connection with, or related
to this DPA, whether in contract, tort or under any othertheory of liability are subject to the terms and conditions,
including but not limited to the exclusions andlimitations, set forth in the Agreement.

Jegliche Ansprüche, die sich aus diesem DPA ergebenoder mit ihm in Verbindung oder Zusammenhangstehen, ob aus Vertrag, unerlaubter Handlung oder einer
anderen Haftungstheorie, unterliegen den in der
Vereinbarung festgelegten Bedingungen, einschließlich,aber nicht beschränkt auf die Ausschlüsse und
Einschränkungen.

In no event shall any party limit its liability with respect
to any individual's data protection rights under this DPAor otherwise. Customer shall indemnify Centric
Software, as applicable, against any and all such claims
or costs of any kind that exceed the exclusions andlimitations set forth in the Agreement.

In keinem Fall darf eine Partei ihre Haftung in Bezug auf
die Datenschutzrechte einer Person gemäß diesem DPAoder anderweitig beschränken. Der Kunde stellt Centric
Software von allen solchen Ansprüchen oder Kosten
jeglicher Art frei, die über die in der Vereinbarung
festgelegten Ausschlüsse und Beschränkungenhinausgehen.

Centric Software shall not be liable for the damage
caused by a Processing and/or in case of non-compliancewith the Applicable Data Protection Legislation as aresult of a Processing resulting in an administrative fineissued by a Supervisory Authority or a court against
Customer unless such damage or non-compliancedirectly results from:Centric Software haftet nicht für Schäden, die durch eine
Datenverarbeitung verursacht werden und/oder im Falle
der Nichteinhaltung der geltenden Datenschutzgesetze
infolge einer Verarbeitung, die zu einem
Bußgeldbescheid einer Aufsichtsbehörde oder eines
Gerichts gegen den Kunden führt, es sei denn, einsolcher Schaden oder eine solche Nichteinhaltung ergibt
sich unmittelbar aus folgenden Gründen:•

Acts of Centric Software beyond or contrary to
Customer’s written instructions;•Handlungen von Centric Software, die über die
schriftlichen Anweisungen des Kunden
hinausgehen oder diesen zuwiderlaufen;•

Failure of Centric Software’s employees tocomply with their applicable confidentiality
obligations;•

Nichteinhaltung der geltenden
Vertraulichkeitsverpflichtungen durch die
Mitarbeiter von Centric Software;•

Partial or total non-performance of the TOMs
as set out in the Agreement.

•

Teilweise oder vollständige Nichterfüllung der
in der Vereinbarung festgelegten TOMs.

When Customer and Centric Software are liable (i) for
the damage caused by the Processing to one or several
Data Subjects and/or (ii) in case of non-compliance with

Wenn der Kunde und Centric Software (i) für den
Schaden haften, der einer oder mehreren betroffenen
Personen durch die Datenverarbeitung entsteht, und/oder

13
Centric Software – DPA 2023

the Applicable Data Protection Legislation as a result ofa Processing resulting in an administrative fine finallyawarded by a Supervisory Authority or a court against
one party, the parties agree to negotiate in good faith thedetermination of the portion of liability corresponding to
the share of responsibility of each party in the executionof the damage and/or the non-compliance and, if
applicable, of the amount due by one party to the otherparty for compensation, within six (6) months fromnotification by one party to the other party. Upon the
failure of the parties to agree on the determination of thequantum, within the aforementioned time period, theparties may decide to submit the determination of thequantum corresponding to the share of liability of eachparty to the court of competent jurisdiction as
determined in this DPA.

(ii) im Falle der Nichteinhaltung der geltenden
Datenschutzgesetze infolge einer Datenverarbeitung, diezu einer Geldstrafe führt, die von einer Aufsichtsbehörde
oder einem Gericht gegen eine Partei verhängt wird,
vereinbaren die Parteien, innerhalb von sechs (6)Monaten nach Mitteilung durch eine Partei an die anderePartei nach Treu und Glauben über die Bestimmung desTeils der Haftung zu verhandeln, der dem Anteil der
Verantwortung jeder Partei an der Verursachung desSchadens und/oder der Nichteinhaltung entspricht, sowie
gegebenenfalls über den Betrag, den die eine Partei deranderen Partei als Entschädigung schuldet. Können sichdie Parteien nicht innerhalb der oben genannten Frist auf
die Festlegung der Höhe des Betrages einigen, können
die Parteien beschließen, die Festlegung des Betrages,
der dem Anteil jeder Partei an der Haftung entspricht,
gemäß diesem DPA dem zuständigen
Gericht vorzulegen.

14. Miscellaneous

14. Sonstiges•

Customer acknowledges and agrees that
nothing in the Agreement or this DPA shallprevent Centric Software from exercising its
right to use and disclose Personal Data relating
to and/or obtained in connection with theoperation, support and/or use of the Centric
Software’s products for its legitimate businesspurposes, including billing, accountmanagement, technical support, productdevelopment, sales and marketing.

•

Der Kunde erkennt an und erklärt sich damit
einverstanden, dass nichts in der Vereinbarungoder diesem DPA Centric Software daranhindert, sein Recht auf Nutzung undOffenlegung personenbezogener Daten
auszuüben, die sich auf den Betrieb, den
Support und/oder die Nutzung der Produkte vonCentric Software beziehen und/oder im
Zusammenhang damit erhalten wurden, undzwar für legitime Geschäftszwecke,
einschließlich Abrechnung, Kontoverwaltung,technischer Support, Produktentwicklung,
Vertrieb und Marketing.

•

Entire agreement. Except for the changes
made by this DPA, the Agreement remains
unchanged and in full force and effect. If there
is a discrepancy, inconsistency or contradiction
between this DPA and the Agreement, theprovisions of this DPA shall prevail, but solely
with respect to the purpose of this DPA. In
addition, it is explicitly agreed that in case of
discrepancy, inconsistency or contradiction
between the Standard Contractual Clauses andthe DPA, the Standard Contractual Clauses
shall prevail.

•Gesamte Vereinbarung. Mit Ausnahme derdurch diesen DPA vorgenommenenÄnderungen bleibt die Vereinbarung
unverändert und in vollem Umfang gültig undwirksam. Im Falle einer Diskrepanz,
Unstimmigkeit oder eines Widerspruchs
zwischen diesem DPA und der Vereinbarung
haben die Bestimmungen dieses DPA Vorrang,
jedoch ausschließlich in Bezug auf den Zweck
dieses DPA. Darüber hinaus wird ausdrücklichvereinbart, dass im Falle von Diskrepanzen,
Unstimmigkeiten oder Widersprüchen zwischen
den Standardvertragsklauseln und diesem DPA
die Standardvertragsklauseln Vorrang haben.

•

Severability. If any provision of this DPA isfound by a court of competent jurisdiction or
arbitrator to be illegal, void or unenforceable,•

Salvatorische Klausel. Wenn eine
Bestimmung dieses DPA von einem
zuständigen Gericht oder Schiedsrichter für

14
Centric Software – DPA 2023

the other provisions shall remain in full force
and effect, and the affected provision will be
modified so as to render it enforceable andeffective to the maximum extent possible inorder to effect the original intent of the parties.

rechtswidrig, nichtig oder nicht durchsetzbar
befunden wird, bleiben die anderen
Bestimmungen in vollem Umfang in Kraft undwirksam, und die betroffene Bestimmung wird
so geändert, dass sie so weit wie möglich
durchsetzbar und wirksam wird, um derursprünglichen Absicht der Parteien Wirkung
zu verleihen.

•

Governing law and jurisdiction. This DPA
shall be governed by and construed inaccordance with governing law and jurisdiction
provisions in the Agreement, unless required
otherwise by the Applicable Data Protection
Legislation.

•

Geltendes Recht und Gerichtsstand. Dieser
DPA unterliegt den Bestimmungen desgeltenden Rechts und Gerichtsstandes in der
Vereinbarung und ist dementsprechend
auszulegen, es sei denn, die geltenden
Datenschutzgesetze verlangen etwas anderes.

•

Updates. Centric Software may update theterms of this DPA from time to time. The thencurrent terms of this DPA are available atCentric Software Data Processing Terms andConditions..

•

Aktualisierungen. Centric Software kann die
Bedingungen dieser DPA von Zeit zu Zeitaktualisieren. Die jeweils aktuellen
Bedingungen dieser DPA finden Sie unter
Centric Software Data Processing Terms andConditions.

15
Centric Software – DPA 2023

APPENDIX 1 – DESCRIPTION OF PROCESSING

1.

Categories of Data Subjects whose Customer’s
Personal Data is Processed

Customer’s Data Subjects may include:

2.

ANHANG 1 – BESCHREIBUNG DERDATENVERARBEITUNG

1.

Kategorien betroffener Personen, deren
personenbezogene Daten des Kunden verarbeitet
werdenZu den betroffenen Personen des Kunden können
folgende Personen gehören:•Customer’s Users, including employees,
contractors, collaborators, partners, suppliers,
stakeholders and/or customers of the Customer,
depending on the terms of the Agreement andon Customer’s use of Centric Software’s
software licenses, and/or Services;•

Benutzer des Kunden, einschließlich
Angestellte, Auftragnehmer, Mitarbeiter,
Partner, Lieferanten, Interessenvertreter
und/oder Kunden des Kunden, je nach den
Bedingungen der Vereinbarungen und derNutzung der Softwarelizenzen und/oder Dienste
von Centric Software durch den Kunden;•

Any other Data Subject whose Personal Data is
included in Customer’s Personal Data.

•

Jede andere betroffene Person, deren
personenbezogene Daten in den
personenbezogenen Daten des Kunden
enthalten sind.

Categories of Customer’s Personal Data
Processed

The categories of Customer’s Personal Data that may be
Processed by Centric Software as Processor, depending
on Customer’s use of the software licenses and/or
Services, are the following:

2.

Kategorien der personenbezogenen Daten desKunden, die verarbeitet werden

Die Kategorien der personenbezogenen Daten desKunden, die von Centric Software als
Auftragsverarbeiter je nach Nutzung derSoftwarelizenzen und/oder Dienste durch den Kundenverarbeitet werden können, sind die folgenden:•

First name, last name;•

Vorname, Nachname;•

Email address;•

E-Mail Adresse;•

Job title;•

Berufsbezeichnung;•Phone number;•

Telefonnummer;•

Connection data (IP address, logs, etc.);•

Verbindungsdaten (IP-Adresse, Protokolleusw.);•

Online identifies (user ID);•

Online-Kennungen (Benutzer-ID);•

Password;•

Passwort;•

Address•

Adresse16
Centric Software – DPA 2023

Depending on the terms applicable to each release ofCentric Software’s software licenses, hosting, and/or
Services, Customer may elect to provide Centric
Software with other categories of Personal Data.

Abhängig von den Bedingungen, die für jede Version
der Softwarelizenzen, des Hostings und/oder der Dienste
von Centric Software gelten, kann der Kunde Centric
Software weitere Kategorien personenbezogener Daten
zur Verfügung stellen.

However, Customer acknowledges and agrees that theCentric Software’s products are not dedicated to Process
any sensitive Personal Data or special category of data,
as defined by the Applicable Data Protection
Legislation, unless a dedicated written agreement is
executed between the parties.

Der Kunde erkennt jedoch an und erklärt sich damit
einverstanden, dass die Produkte von Centric Software
nicht für die Verarbeitung sensibler personenbezogener
Daten oder besonderer Datenkategorien im Sinne dergeltenden Datenschutzgesetze bestimmt sind, es seidenn, es wird eine entsprechende schriftliche
Vereinbarung zwischen den Parteien abgeschlossen.

3.

3.

Nature and Purpose of the Processing

Centric Software Processes Customer’s Personal Data toprovide the software products and/or Services as
specified under the Agreement including:Centric Software verarbeitet die personenbezogenen
Daten des Kunden, um die Softwareprodukte und/oder
Dienste gemäß der Vereinbarung bereitzustellen,
einschließlich:•

Making software licenses available, whether
on-premise or on a hosted basis, providing SaaS
Services•

Bereitstellung von Softwarelizenzen, entweder
vor Ort oder auf gehosteter Basis,
Bereitstellung von SaaS-Diensten•

Providing technical support for Centric
Software’s software products•

Bereitstellung von technischem Support für die
Softwareprodukte von Centric Software•

Providing consulting services for
implementation of such software.

•

Erbringung von Beratungsdiensten für die
Implementierung dieser Software.

•

Hosting Customer Data where hosting or SaaSis purchased.

•

Hosting von Kundendaten, wenn Hosting oder
SaaS erworben wurde.

Depending on the software products and/or Services
ordered by Customer, Centric Software will Process
Customer’s Personal Data for the following purposes:

4.

Art und Zweck der Datenverarbeitung

Je nach den vom Kunden bestellten Softwareprodukten
und/oder Diensten wird Centric Software die
personenbezogenen Daten des Kunden für die folgenden
Zwecke verarbeiten:•

Collection, access, use, storage and deletion ofCustomer Personal Data;•

Erhebung, Zugriff, Nutzung, Speicherung undLöschung personenbezogener Daten vonKunden;•Authentication mechanism.

•

Authentifizierungsmechanismus.

Duration of the Processing

Centric Software Processes Customer’s Personal Data

4.

Dauer der DatenverarbeitungCentric Software verarbeitet die personenbezogenen

17
Centric Software – DPA 2023

for the duration of the software licenses, hosting, and/or
services as specified under the Agreement. Upon
termination or expiration of the Agreement, Centric
Software will delete all Customer’s Personal Data to
Customer in accordance with the terms and timelines ofsuch Agreement, except where applicable law requires
retention of such Customer’s Personal Data or wheresuch Customer’s Personal Data is necessary for proof
purposes during the applicable statute of limitation.

Daten des Kunden für die Dauer der Softwarelizenzen,
des Hostings und/oder der Dienste, wie in der
Vereinbarung festgelegt. Nach Kündigung oder Ablauf
der Vereinbarung löscht Centric Software allepersonenbezogenen Daten des Kunden inÜbereinstimmung mit den Bedingungen und Fristen der
Vereinbarung, es sei denn, das geltende Recht schreibt
die Aufbewahrung der personenbezogenen Daten desKunden vor oder die personenbezogenen Daten desKunden sind während der geltenden Verjährungsfrist zu
Beweiszwecken erforderlich.

Customer may retrieve Customer’s Personal Data
pursuant to the procedures described in the Agreement.

Der Kunde kann die personenbezogenen Daten desKunden gemäß den in der Vereinbarung beschriebenen
Verfahren abrufen.

5.

5.

For Processing by Sub-Processors, also specify
subject matter, nature and duration of theProcessing

Für die Datenverarbeitung durch
Unterauftragsverarbeiter geben Sie bitte auch
Gegenstand, Art und Dauer der Verarbeitung an

In order to provide the software products and/or
Services, Centric Software may appoint other companies
as Sub-Processors which may receive, from Centric
Software or from any other Sub-Processor of Centric
Software, Customer’s Personal Data for the sole andexclusive purpose to Process activities to be carried out
on behalf of Customer in accordance with the terms of
the Agreement and the terms of a written subcontract.

Um die Softwareprodukte und/oder Dienste
bereitzustellen, kann Centric Software andere
Unternehmen als Unterauftragsverarbeiter benennen, die
von Centric Software oder einem anderen
Unterauftragsverarbeiter von Centric Software
personenbezogene Daten des Kunden zum alleinigen
und ausschließlichen Zweck der Ausführung von
Aktivitäten erhalten, die im Namen des Kunden gemäß
den Bedingungen der Vereinbarung und den
Bedingungen eines schriftlichen Untervertrags
durchzuführen sind.

Centric Software will ensure that the same dataprotection obligations as set forth in the Agreement shallbe imposed on the Sub-Processors by way of a contract
and/or the standard contractual clauses from theEuropean Commission in such a manner that theProcessing will meet the requirements of the Applicable
Data Protection Legislation.

Centric Software stellt sicher, dass den
Unterauftragsverarbeitern dieselben
Datenschutzverpflichtungen, wie sie in der Vereinbarung
festgelegt sind, durch einen Vertrag und/oder die
Standardvertragsklauseln der Europäischen Kommission
auferlegt werden, so dass die Verarbeitung den
Anforderungen der geltenden Datenschutzgesetze
entspricht.

The list of Sub-Processors is set forth at Centric
Software List of Sub-Processors.

Die Liste der Unterauftragsverarbeiter ist unter Centric
Software – Liste der Unterauftragsverarbeiter zu finden.

18
Centric Software – DPA 2023

APPENDIX 2 - JURISDICTION SPECIFIC TERMSANHANG 2 – RECHTSORDNUNGSSPEZIFISCHEBESTIMMUNGEN

1.

1.

2.

3.

Australia

Australien

1.1. The definition of “Applicable Data Protection
Legislation” includes the Australian Privacy
Principles and the Australian Privacy Act(1988).

1.1. Die Definition des Begriffs „geltende
Datenschutzgesetze“ umfasst die AustralianPrivacy Principles und den Australian Privacy
Act (1988).

1.2. The definition of “Personal Data” includes“Personal Information” as defined under
Applicable Data Protection Legislation.

1.2. Die Definition des Begriffs„personenbezogene Daten“ schließt den
Begriff „persönliche Informationen“ im Sinne
der geltenden Datenschutzgesetze ein.

Brazil2.

Brasilien

2.1. The definition of “Applicable Data Protection
Legislation” includes the Lei Geral deProteção de Dados (LGPD).

2.1. Die Definition des Begriffs „geltende
Datenschutzgesetze“ umfasst das Lei Geral deProteção de Dados (LGPD).

2.2. The definition of “Personal Data Breach”
includes a security incident that may result inany relevant risk or damage to data subjects.

2.2. Die Definition des Begriffs„Datenschutzverletzung“ umfasst einen
Sicherheitsvorfall, der zu einem relevanten
Risiko oder Schaden für betroffene Personen
führen kann.

2.3. The definition of “Processor” includes“operator” as defined under Applicable Data
Protection Legislation.

2.3. Die Definition des Begriffs„Auftragsverarbeiter“ schließt den Begriff„Betreiber“ im Sinne der geltenden
Datenschutzgesetze ein.

Canada3.

Kanada3.1. The definition of “Applicable Data Protection
Legislation” includes the Federal Personal
Information Protection and Electronic
Documents Act (PIPEDA).

3.1. Die Definition des Begriffs „geltende
Datenschutzgesetze“ umfasst den Federal
Personal Information Protection and Electronic
Documents Act (PIPEDA).

3.2. Centric Software’s Sub-processors, as set forthin Section 9 “Sub-processing” of this DPA, arethird parties under Applicable Data Protection
Legislation, with whom Centric Software hasentered into a written contract that includes
terms substantially similar to this DPA.
Centric Software has conducted appropriate
due diligence on its Sub-processors.

3.2. Die Unterauftragsverarbeiter von Centric
Software, wie in Abschnitt 9„Unterauftragsverarbeitung“ dieses DPA
dargelegt, sind Dritte im Sinne der geltenden
Datenschutzgesetze, mit denen Centric
Software einen schriftlichen Vertragabgeschlossen hat, der im Wesentlichenähnliche Bedingungen wie diese DPA enthält.
Centric Software hat seine

19
Centric Software – DPA 2023

Unterauftragsverarbeiter einer angemessenen
Due-Diligence-Prüfung unterzogen.
3.3. Centric Software will implement technical andorganizational measures as set forth in Section
10 “Security” of this DPA.

4.

European Economic Area (EEA)

3.3. Centric Software wird die in Abschnitt 10„Sicherheit“ dieses DPA beschriebenen
technischen und organisatorischen
Maßnahmen umsetzen.

4.

Europäischer Wirtschaftsraum (EWR)

4.1. The definition of “Applicable Data Protection
Legislation” includes the General Data
Protection Regulation (EU 2016/679)(“GDPR”).

4.1. Die Definition des Begriffs „geltende
Datenschutzgesetze“ umfasst die DatenschutzGrundverordnung (EU 2016/679)(„DSGVO“).

4.2. When Centric Software engages a Subprocessor under Section 9 “Sub-Processing” ofthis DPA, it will:4.2. Wenn Centric Software gemäß Abschnitt 9„Unterauftragsverarbeitung“ dieses DPA einen
Unterauftragsverarbeiter einsetzt, wird das
Unternehmen:(a) require any appointed sub-processor toprotect the Customer’s Personal Data to thestandard required by Applicable Data
Protection Legislation, such as including
the same data protection obligations
referred to in Article 28(3) of the GDPR, in
particular providing sufficient guarantees
to implement appropriate technical andorganizational measures in such a mannerthat the processing will meet therequirements of the GDPR, and(a) von jedem beauftragten
Unterauftragsverarbeiter verlangen, dass er
die personenbezogenen Daten des Kunden
gemäß den geltenden Datenschutzgesetzen
schützt, d. h. die in Artikel 28(3) derDSGVO genannten
Datenschutzverpflichtungen einhält undinsbesondere ausreichende Garantien fürdie Umsetzung geeigneter technischer undorganisatorischer Maßnahmen bietet, sodass die Datenverarbeitung den
Anforderungen der DSGVO entspricht,und(b) require any appointed Sub-processor to (i)agree in writing to only process personal
data in a country that the European Union
has declared to have an “adequate” level ofprotection or (ii) only process personal dataon terms equivalent to the Standard
Contractual Clauses or pursuant to a
Binding Corporate Rules approval granted
by competent European Union dataprotection authorities.

(b) von jedem beauftragten
Unterauftragsverarbeiter verlangen, (i) sichschriftlich zu verpflichten,
personenbezogene Daten nur in einem
Land zu verarbeiten, das von derEuropäischen Union als Land mit einem„angemessenen“ Schutzniveau eingestuft
wurde, oder (ii) personenbezogene Daten
nur zu Bedingungen zu verarbeiten, die denStandardvertragsklauseln oder einer vonden zuständigen Datenschutzbehörden derEuropäischen Union erteilten
Genehmigung für verbindliche
Unternehmensregeln (Binding Corporate
Rules) entsprechen.

4.3. Notwithstanding anything to the contrary inthis DPA or in the Agreement (including,
without limitation, either party’s

4.3. Ungeachtet gegenteiliger Bestimmungen indiesem DPA oder in der Vereinbarung(einschließlich, aber nicht beschränkt auf die

20
Centric Software – DPA 2023

indemnification obligations), neither party will
be responsible for any GDPR fines issued orlevied under Article 83 of the GDPR against
the other party by a regulatory authority or
governmental body in connection with suchother party’s violation of the GDPR.

5.

IsraelEntschädigungsverpflichtungen der Parteien)
ist keine der Parteien für Bußgelder
verantwortlich, die gemäß Artikel 83 derDSGVO von einer Aufsichtsbehörde odereiner staatlichen Stelle gegen die andere Partei
im Zusammenhang mit einem Verstoß deranderen Partei gegen die DSGVO verhängt
oder erhoben werden.

5.

Israel5.1.

The definition of “Applicable Data
Protection Legislation” includes theProtection of Privacy Law (PPL).

5.1.

Die Definition des Begriffs „geltende
Datenschutzgesetze“ schließt das Protectionof Privacy Law (PPL) ein.

5.2.

The definition of “Controller” includes“Database Owner” as defined under
Applicable Data Protection Legislation.

5.2.

Die Definition des Begriffs„Verantwortlicher“ schließt den Begriff„Datenbankinhaber“ im Sinne der geltenden
Datenschutzgesetze ein.

5.3.

The definition of “Processor” includes“Holder” as defined under Applicable Data
Protection Legislation.

5.3.

Die Definition des Begriffs„Auftragsverarbeiter“ schließt den Begriff„Inhaber“ im Sinne der geltenden
Datenschutzgesetze ein.

5.4.

Centric Software will require that any
personnel authorized to process Customer’s
Personal Data comply with the principle ofdata secrecy and have been duly instructed
about Applicable Data Protection
Legislation. Such personnel signconfidentiality agreements with Centric
Software in accordance with Section 5“Access to Customer’s Personal Data” ofthis DPA.

5.4.

Centric Software wird verlangen, dass alle
Mitarbeiter, die zur Verarbeitung der
personenbezogenen Daten des Kunden
berechtigt sind, den Grundsatz derGeheimhaltung der Daten einhalten undordnungsgemäß über die geltenden
Datenschutzgesetze unterrichtet wurden.
Diese Mitarbeiter unterzeichnen
Vertraulichkeitsvereinbarungen mit Centric
Software gemäß Abschnitt 5 „Zugriff auf
die personenbezogenen Daten des Kunden“
dieses DPA.

5.5.

Centric Software must take sufficient steps
to ensure the privacy of data subjects byimplementing and maintaining the security
measures as specified in Section 10“Security” of this DPA and complying withthe terms of the Agreement.

5.5.

Centric Software muss ausreichende
Maßnahmen ergreifen, um die Privatsphäre
der betroffenen Personen zu gewährleisten,indem das Unternehmen die in Abschnitt 10„Sicherheit“ dieses DPA genannten
Sicherheitsmaßnahmen umsetzt undaufrechterhält und die Bedingungen der
Vereinbarung einhält.

5.6.

Centric Software must ensure that theCustomer’s Personal Data will not betransferred to a Sub-processor unless such
Sub-processor has executed an agreementwith Centric Software pursuant to Section 9“Sub-processing” of this DPA.

5.6.

Centric Software muss sicherstellen, dassdie personenbezogenen Daten des Kunden
nicht an einen Unterauftragsverarbeiterweitergegeben werden, es sei denn, dieser
Unterauftragsverarbeiter hat mit Centric
Software eine Vereinbarung gemäß

21
Centric Software – DPA 2023

Abschnitt 9 „Unterauftragsverarbeitung“
dieses DPA abgeschlossen.

6.

Japan

6.

Japan

6.1.

The definition of “Applicable Data
Protection Legislation” includes the Act on
the Protection of Personal Information(APPI).

6.1.

Die Definition des Begriffs „geltende
Datenschutzgesetze“ umfasst den Act on theProtection of Personified Data (APPI).

6.2.

The definition of “Personal Data” includes“information about a specific individual
applicable under Section 2(1) of the APPI,
which are provided by Customer (or any
Customer’s authorized user) to Centric
Software through Customer’s use of Centric
Software’s Services.

6.2.

Die Definition des Begriffs„personenbezogene Daten“ umfasst„Informationen über eine bestimmte Person
gemäß § 2(1) des APPI, die vom Kunden(oder einem autorisierten Benutzer desKunden) Centric Software im Rahmen der
Nutzung der Dienste von Centric Software
durch den Kunden zur Verfügung gestellt
werden.

6.3.

The definition of “Controller” includes“Business Operator” as defined under
Applicable Data Protection Legislation.

6.3.

Die Definition des Begriffs„Verantwortlicher“ schließt den Begriff„Geschäftsbetreiber“ im Sinne der geltenden
Datenschutzgesetze ein.

6.4.

The definition of “Processor” includes abusiness operator entrusted by the Business
Operator with the handling of personal datain whole or in part (also a “trustee”), as
defined under Applicable Data Protection
Legislation. As a trustee of Customer’s
Personal Data, Centric Software will ensurethat the use of the entrusted Customer’s
Personal Data is securely controlled.

6.4.

Die Definition des Begriffs„Auftragsverarbeiter“ schließt im Sinne dergeltenden Datenschutzgesetze einen
Geschäftsbetreiber ein, der vom benannten
Geschäftsbetreiber ganz oder teilweise mit
der Verarbeitung personenbezogener Daten
betraut ist (auch ein „Treuhänder“). Als
Treuhänder der personenbezogenen Daten
des Kunden stellt Centric Software sicher,dass die Nutzung der anvertrauten
personenbezogenen Daten des Kundenzuverlässig kontrolliert wird.

6.5.

Centric Software agrees it has and will
maintain a privacy program conforming to
the standards prescribed by rules of the
Personal Information Protection
Commission concerning the handling of
personal data pursuant to the provisions of
Chapter 4 of the APPI. Accordingly:

6.5.

Centric Software bestätigt, dass das
Unternehmen über ein
Datenschutzprogramm verfügt und dieses
aufrechterhalten wird, das den von derjapanischen Kommission für den Schutz
personenbezogener Daten vorgeschriebenen
Standards für den Umgang mit
personenbezogenen Daten gemäß den
Bestimmungen von Kapitel 4 des APPI
entspricht. Dementsprechend gilt Folgendes:(a) Centric Software will (i) process
Personal Data as necessary to provide
the Services to Customer in accordancewith the Agreement and as set forth in(a) Centric Software wird (i)personenbezogene Daten in dem Maße
verarbeiten, wie es für die Erbringung
der Dienste für den Kunden gemäß der22
Centric Software – DPA 2023

Schedule 1 (Details of the Processing)of this DPA (“Purpose of Use”) and (ii)not process Personal Data for any
purpose other than the Purpose of Use
without Customer’s consent;

Vereinbarung und wie in Anlage 1(Einzelheiten der Verarbeitung) dieses
DPA dargelegt („Verwendungszweck“)
erforderlich ist, und (ii)personenbezogene Daten nicht ohne die
Einwilligung des Kunden für andere
Zwecke als den Verwendungszweck
verarbeiten;(b) Centric Software will implement andmaintain measures appropriate andnecessary to prevent unauthorized
disclosure and loss of Personal Dataand for the secure management of
personal data in accordance with the
APPI as set forth at Centric Software
TOMs;(b) Centric Software wird Maßnahmenumsetzen und aufrechterhalten, diegeeignet und notwendig sind, um die
unbefugte Offenlegung und den Verlust
personenbezogener Daten zu verhindern
und die sichere Verwaltung
personenbezogener Daten inÜbereinstimmung mit dem APPI zu
gewährleisten, wie in Centric
Software – TOMs dargelegt;(c) Centric Software will notify Customer
for (i) a failure to comply with Section
6.3(a) of this Appendix 2 or (ii) Centric
Software’s discovery of a Personal Data
Breach impacting Customer Personal
Data, in either case, in accordance with
Section 6 “Customer’s Personal Data
Breach”. Centric Software will provide
reasonable assistance to Customer inthe event that Customer is required to
notify a regulatory authority or any data
subjects impacted by a Customer
Personal Data Breach;(c) Centric Software wird den Kunden
benachrichtigen, wenn (i) ein Verstoß
gegen Abschnitt 6.3(a) dieses
Anhangs 2 vorliegt oder (ii) Centric
Software eine Datenschutzverletzung
feststellt, die sich auf personenbezogene
Daten des Kunden auswirkt, in beiden
Fällen in Übereinstimmung mit
Abschnitt 6 „Datenschutzverletzung mit
Auswirkungen auf den Kunden“.
Centric Software wird den Kunden inangemessener Weise unterstützen, falls
der Kunde verpflichtet ist, eine
Aufsichtsbehörde oder betroffene
Personen über eine
Datenschutzverletzung mit
Auswirkungen auf den Kunden zu
informieren;(d) Centric Software will ensure that any of
its employees who have access to
Customer Personal Data (i) haveexecuted employee agreements
requiring them to keep such Customer
Personal Data confidential and (ii) who
violate confidentiality will be subject todisciplinary action and possible
termination; (iii) carry out appropriate
employee supervision and training forthe secure management of personal
data; and (iv) limit the number ofauthorized personnel, including Centric
Software’s employees, who have accessto Customer’s Personal Data andcontrol such access such that it is only(d) Centric Software stellt sicher, dass alle
Mitarbeiter, die Zugriff auf
personenbezogene Daten des Kunden
haben, (i) Mitarbeitervereinbarungenunterzeichnet haben, die sie zur
vertraulichen Behandlung dieser Datenverpflichten, und (ii) dass Verstöße
gegen die Vertraulichkeit
disziplinarisch und gegebenenfalls mit
einer Kündigung geahndet werden; (iii)die Mitarbeiter angemessen
beaufsichtigt und geschult werden, um
einen sicheren Umgang mit
personenbezogenen Daten zu
gewährleisten; und (iv) die Anzahl derbefugten Personen, einschließlich der23
Centric Software – DPA 2023

permitted for the time period necessary
for the Purpose of Use;

Mitarbeiter von Centric Software, die
Zugriff auf die personenbezogenen
Daten des Kunden haben, begrenzt unddieser Zugriff so kontrolliert wird, dasser nur für den für den
Verwendungszweck erforderlichen
Zeitraum gestattet ist;(e) Centric Software will not disclose
Customer Personal Data to any third
party, except as Customer has
authorized Centric Software to do so in
the Agreement. When engaging subprocessors, Centric Software willcomply with the obligations in Section
9 (Subprocessing) of this DPA toensure that procedures are in place tomaintain the confidentiality andsecurity of Customer Personal Data;(e) Centric Software wird die
personenbezogenen Daten des Kunden
nicht an Dritte weitergeben, es sei denn,
der Kunde hat Centric Software in der
Vereinbarung dazu ermächtigt. Bei der
Beauftragung vonUnterauftragsverarbeitern wird Centric
Software die Verpflichtungen in
Abschnitt 9 (Unterauftragsverarbeitung)dieses DPA einhalten, um
sicherzustellen, dass Verfahren zur
Wahrung der Vertraulichkeit undSicherheit der personenbezogenen
Daten des Kunden vorhanden sind;(f) Centric Software will keep records ofthe handling of Customer Personal Dataentrusted to it by, and performed for,
Customer;(f) Centric Software führt Aufzeichnungenüber den Umgang mit
personenbezogenen Daten des Kunden,
die ihr vom Kunden anvertraut wurden
und die sie für den Kunden verarbeitet;(g) Centric Software will promptly notify
Customer of any Data Subject Request
and not respond to such Data Subject
Request without Customer’s priorconsent, except as legally required to doso or to confirm that such Data Subject
Request relates to Customer. To theextent Customer does not have theability to resolve a Data Subject
Request from a Data Subject throughthe self-service features made available
via the Services, then, upon Customer’s
request, Centric Software will provide
reasonable cooperation and support toassist Customer in resolving such Data
Subject Request from a Data Subject inaccordance with Section 8 (Data
Subject Rights) of this DPA;(g) Centric Software wird den Kunden
unverzüglich über jeden Antrag einer
betroffenen Person benachrichtigen undauf einen solchen Antrag nicht ohne dievorherige Einwilligung des Kundenreagieren, es sei denn, dies ist
gesetzlich vorgeschrieben oder um zu
bestätigen, dass sich der Antrag auf den
Kunden bezieht. Soweit der Kunde
nicht in der Lage ist, einen Antrag einer
betroffenen Person über die über die
Dienste zur Verfügung gestellten
Selbstbedienungsfunktionen zu lösen,wird Centric Software auf Anfrage desKunden in angemessener Weise mit
ihm zusammenarbeiten und ihn bei der
Lösung eines solchen Antrags einer
betroffenen Person gemäß Abschnitt 8(Rechte der betroffenen Person) dieses
DPA unterstützen;(h) Customer may assess Centric
Software’s compliance with its
obligations under Applicable Data
Protection Legislation and as set forthin Section 7.2 “Audits” of this DPA;(h) Der Kunde ist berechtigt, die
Einhaltung der Verpflichtungen vonCentric Software im Rahmen dergeltenden Datenschutzgesetze und wie
in Abschnitt 7.2 „Audits“ dieses DPA

24
Centric Software – DPA 2023

dargelegt, zu überprüfen;(i) To the extent it relates to the Processingof the Customer Personal Data byCentric Software, Centric Software will
provide reasonable cooperation to
Customer upon written request, where
Customer is reporting to the Personal
Information Protection Commission orother regulatory authorities; and

6.6.

7.

(i) Soweit es sich um die Verarbeitung
personenbezogener Daten des Kunden
durch Centric Software handelt, wird
Centric Software dem Kunden auf
schriftliches Ersuchen hin inangemessener Weise behilflich sein,
wenn der Kunde der japanischen
Kommission für den Schutz
personenbezogener Daten oder anderen
Aufsichtsbehörden Bericht erstattet;
undThe following data subject consent terms
apply: (a) Customer entrusts Centric
Software with the Customer Personal Datafor the Purpose of Use. Customer agrees
that Centric Software is not a “third party”
as the term is used in the APPI provisions
that restrict the provision of personal data to
third parties. As such, the requirement toobtain data subject consent in advance fordomestic transfers within Japan do not
apply. As such, the APPI restrictions on theprovision of personal data to third parties inforeign countries outside of Japan, which
require data subject consent in advance ofsuch international transfers do not apply.

Mexico:6.6.

7.

Es gelten die folgenden Bedingungen für die
Einwilligung der betroffenen Person: (a)Der Kunde vertraut Centric Software die
personenbezogenen Daten des Kunden zum
Verwendungszweck an. Der Kunde erklärt
sich damit einverstanden, dass Centric
Software kein „Dritter“ im Sinne der APPIBestimmungen ist, die die Weitergabe
personenbezogener Daten an Dritte
einschränken. Daher gilt das Erfordernis dervorherigen Einholung der Einwilligung derbetroffenen Person für inländischeÜbermittlungen innerhalb Japans nicht.
Daher gelten die APPI-Beschränkungen fürdie Bereitstellung personenbezogener Daten
an Dritte im Ausland außerhalb Japans, dieeine Einwilligung der betroffenen Person im
Voraus für solche internationalenÜbermittlungen erfordern, nicht.

Mexiko:7.1.

The definition of “Applicable Data
Protection Legislation” includes the Federal
Law for the Protection of Personal Data
Held by Private Parties and its Regulations(FLPPIPPE).

7.1.

Die Definition des Begriffs „geltende
Datenschutzgesetze“ umfasst das Federal
Law for the Protection of Personal Data
Held by Private Parties and its Regulations(FLPPIPPE).

7.2.

When acting as a processor, Centric
Software will:

7.2.

Wenn Centric Software als
Auftragsverarbeiter handelt, wird das
Unternehmen:(a) treat Personal Data in accordance with
Customer’s instructions set forth in
Section 4 “Centric Software’s
Processing of Customer’s Personal
Data” of this DPA;(a) die personenbezogenen Daten gemäß
den Anweisungen des Kunden in
Abschnitt 4 „Verarbeitung der
personenbezogenen Daten des Kunden
durch Centric Software“ dieses DPA
verarbeiten;25
Centric Software – DPA 2023

8.

9.

(b) process Customer Personal Data only tothe extent necessary to provide theServices;(b) personenbezogene Daten des Kunden
nur in dem Umfang verarbeiten, der für
die Erbringung der Dienste erforderlich
ist;(c) implement security measures inaccordance with Applicable Data
Protection Law and Section 10“Security” of this DPA;(c) Sicherheitsmaßnahmen inÜbereinstimmung mit dem geltenden
Datenschutzrecht und Abschnitt 10„Sicherheit“ dieses DPA umsetzen;(d) keep confidentiality regarding theCustomer Personal Data processed inaccordance with the Agreement;(d) die personenbezogenen Daten desKunden, die in Übereinstimmung mit
der Vereinbarung verarbeitet werden,
vertraulich behandeln;(e) delete all Customer Personal Data upon
termination of the Agreement inaccordance with Section 12 “Term andTermination of this DPA” of this DPA;and(e) alle personenbezogenen Daten desKunden bei Kündigung der
Vereinbarung gemäß Abschnitt 12„Kündigung und Beendigung dieses
DPA“ dieses DPA löschen; und(f) only transfer Personal Data to subprocessors in accordance with Section 9(Subprocessing) of this DPA.

(f) personenbezogene Daten nur an
Unterauftragsverarbeiter gemäß
Abschnitt 9 (Unterauftragsverarbeitung)dieses DPA weitergeben.

Singapore

8.

Singapur

8.1.

The definition of “Applicable Data
Protection Legislation” includes the
Personal Data Protection Act 2012 (PDPA).

8.1.

Die Definition des Begriffs „geltende
Datenschutzgesetze“ umfasst den Personal
Data Protection Act 2012 (PDPA).

8.2.

Centric Software will Process Customer’s
Personal Data to a standard of protection inaccordance with the PDPA by implementing
adequate technical and organizational
measures as set forth in Section 10“Security” of this DPA and complying withthe terms of the Agreement.

8.2.

Centric Software wird die
personenbezogenen Daten des Kunden mit
einem Schutzstandard gemäß dem PDPA
verarbeiten, indem das Unternehmen
angemessene technische undorganisatorische Maßnahmen umsetzt, wie
in Abschnitt 10 „Sicherheit“ dieses DPA
dargelegt, und die Bedingungen der
Vereinbarung einhält.

Switzerland

9.

Schweiz

9.1.

The definition of “Applicable Data
Protection Legislation” includes the Swiss
Federal Data Protection Act of 19 June 1992
and its Ordinance 2012 (“Swiss FDPA”).

9.1.

Die Definition des Begriffs „geltende
Datenschutzgesetze“ umfasst das Schweizer
Bundesgesetz über den Datenschutz vom
19. Juni 1992 und dessen Verordnung
von 2012 („Schweizer DSG“).

9.2.

When Centric Software engages a Subprocessor under Section 9 “ Sub-processing”

9.2.

Wenn Centric Software einen
Unterauftragsverarbeiter gemäß Abschnitt 926
Centric Software – DPA 2023

of this DPA, it will:„Unterauftragsverarbeitung“ dieses DPA
beauftragt, wird Centric Software:(a) require any appointed Sub-processor toprotect the Customer Content to thestandard required by Applicable Data
Protection Legislation, such as
including the same data protection
obligations referred to in Article 28(3)of the GDPR, in particular providing
sufficient guarantees to implement
appropriate technical and organizational
measures in such a manner that theprocessing will meet the requirementsof the GDPR, and(a) von jedem beauftragten
Unterauftragsverarbeiter verlangen,dass er die Kundeninhalte gemäß dem
von den geltenden Datenschutzgesetzen
geforderten Standard schützt, z. B.
einschließlich der gleichen
Datenschutzverpflichtungen, auf die in
Artikel 28(3) der DSGVO Bezug
genommen wird, insbesondere
ausreichende Garantien für die
Umsetzung geeigneter technischer undorganisatorischer Maßnahmen in einer
Weise, dass die Datenverarbeitung die
Anforderungen der DSGVO erfüllt, und(b) require any appointed Sub-Processor to(i) agree in writing to only process
Customer’s Personal Data in a country
that Switzerland has declared to have an“adequate” level of protection or (ii)only process Customer’s Personal Dataon terms equivalent to the Standard
Contractual Clauses or pursuant to a
Binding Corporate Rules approval
granted by competent European Union
data protection authorities.

(b) von jedem beauftragten
Unterauftragsverarbeiter verlangen, (i)sich schriftlich zu verpflichten, diepersonenbezogenen Daten des Kunden
nur in einem Land zu verarbeiten, dem
die Schweiz ein „angemessenes“
Schutzniveau bescheinigt hat, oder (ii)die personenbezogenen Daten desKunden nur zu Bedingungen zu
verarbeiten, die denStandardvertragsklauseln gleichwertig
sind, oder gemäß einer von den
zuständigen Datenschutzbehörden derEuropäischen Union erteilten
Genehmigung nach verbindlichen
Unternehmensregeln (Binding
Corporate Rules).

10. United Kingdom (UK)

10. Vereinigtes Königreich (UK)

10.1. The definition of “Applicable Data
Protection Legislation” includes the UK
Data Protection Legislation.

10.1. Die Definition des Begriffs „geltende
Datenschutzgesetze“ schließt die britischen
Datenschutzgesetze ein.

10.2. When Centric Software engages a SubProcessor under Section 9 “Sub-processing”
of this DPA, it will:10.2. Wenn Centric Software einen
Unterauftragsverarbeiter gemäß Abschnitt 9„Unterauftragsverarbeitung“ dieses DPA
beauftragt, wird das Unternehmen:(c) require any appointed sub-processor toprotect the Customer’s Personal Data to
the standard required by Applicable
Data Protection Legislation, such as
including the same data protection
obligations referred to in Article 28(3)(c) von jedem beauftragten
Unterauftragsverarbeiter verlangen,dass er die personenbezogenen Daten
des Kunden gemäß dem von den
geltenden Datenschutzgesetzen
geforderten Standard schützt, wie z. B.

27
Centric Software – DPA 2023

of the UK GDPR, in particularproviding sufficient guarantees toimplement appropriate technical andorganizational measures in such amanner that the processing will meetthe requirements of the UK GDPR, anddie gleichen
Datenschutzverpflichtungen, auf die in
Artikel 28(3) der britischen DSGVO
Bezug genommen wird, insbesondere
die Bereitstellung ausreichender
Garantien für die Umsetzung geeigneter
technischer und organisatorischer
Maßnahmen in einer Weise, dass die
Datenverarbeitung die Anforderungender britischen DSGVO erfüllt, und(d) require any appointed Sub-processor to(i) agree in writing to only Process
Customer’s Personal Data in a country
that the United Kingdom has declared
to have an “adequate” level ofprotection or (ii) only Process
Customer’s Personal Data on terms
equivalent to the UK International Data
Transfer Agreement or pursuant to a
Binding Corporate Rules approval
granted by competent United Kingdom
data protection authorities.

(d) von jedem ernannten
Unterauftragsverarbeiter verlangen, (i)sich schriftlich zu verpflichten, diepersonenbezogenen Daten des Kunden
nur in einem Land zu verarbeiten, dem
das Vereinigte Königreich ein„angemessenes“ Schutzniveau
bescheinigt hat, oder (ii) die
personenbezogenen Daten des Kunden
nur zu Bedingungen zu verarbeiten, dieder Vereinbarung zur
Datenübermittlung im Vereinigten
Königreich (UK International Data
Transfer Agreement) gleichwertig sind,oder gemäß einer von den zuständigenDatenschutzbehörden des Vereinigten
Königreichs erteilten Genehmigung
nach den verbindlichen
Unternehmensregeln (Binding
Corporate Rules).

10.3. Notwithstanding anything to the contrary inthis DPA or in the Agreement (including,
without limitation, either party’s
indemnification obligations), neither party
will be responsible for any UK GDPR fines
issued or levied under Article 83 of the UK
GDPR against the other party by aregulatory authority or governmental bodyin connection with such other party’s
violation of the UK GDPR.

10.3. Ungeachtet gegenteiliger Bestimmungen indiesem DPA oder in der Vereinbarung(einschließlich, aber nicht beschränkt auf
die Entschädigungsverpflichtungen derParteien) ist keine der Parteien fürGeldbußen verantwortlich, die gemäß
Artikel 83 der britischen DSGVO gegen die
andere Partei von einer Aufsichtsbehörde
oder staatlichen Stelle im Zusammenhang
mit dem Verstoß der anderen Partei gegendie britische DSGVO verhängt oder erhoben
werden.

11. United States of America
11.1. “US State Privacy Laws” mean all statelaws relating to the protection andprocessing of personal data in effect in the
United States of America, which may
include, without limitation, the California
Consumer Privacy Act, as amended by the

11. Vereinigte Staaten von Amerika
11.1. „Datenschutzgesetze der USBundesstaaten“ bezeichnet allebundesstaatlichen Gesetze in Bezug auf den
Schutz und die Verarbeitung
personenbezogener Daten, die in den
Vereinigten Staaten von Amerika in Kraft

28
Centric Software – DPA 2023

California Privacy Rights Act (“CCPA”),
the Virginia Consumer Data Protection Act,
the Colorado Privacy Act, the Connecticut
Data Privacy Act, and the Utah Consumer
Privacy Act.

sind. Dazu gehören unter anderem derCalifornia Consumer Privacy Act, in derFassung des California Privacy Rights Act(„CCPA“), der Virginia Consumer Data
Protection Act, der Colorado Privacy Act,
der Connecticut Data Privacy Act und derUtah Consumer Privacy Act.

11.2. The definition of “Applicable Data
Protection Law” includes US State Privacy
Laws.

11.2. Die Definition des Begriffs „geltendes
Datenschutzrecht“ schließt die
Datenschutzgesetze der US-Bundesstaaten
ein.

11.3. The following terms apply where Centric
Software processes Customer Personal Data
subject to the CCPA:

11.3. Die folgenden Bestimmungen gelten, wenn
Centric Software personenbezogene Daten
von Kunden verarbeitet, die dem CCPA
unterliegen:(a) The term “personal information”, asused in this Section 11.3, will have themeaning provided in the CCPA;(a) Der Begriff „personenbezogene
Daten“, wie er in diesem
Abschnitt 11.3 genutzt wird, hat die im
CCPA festgelegte Bedeutung;(b) Centric Software is a service provider
when processing Customer Personal
Data. Centric Software will process
any personal information only for thebusiness purposes set forth in theAgreement, including the purpose ofprocessing and processing activities
set forth in this DPA (“Purpose”). As aservice provider, Centric Software will
not sell or share Customer Personal
Information or retain, use, or disclose
Customer Personal Information (i) for
any purpose other than the Purpose,including retaining, using, ordisclosing Customer Personal
Information for a commercial purpose
other than the Purpose, or as otherwise
permitted by the CCPA; or (ii) outsideof the direct business relationshipbetween Customer and Centric
Software;(b) Centric Software ist, wenn das
Unternehmen personenbezogene
Daten des Kunden verarbeitet, ein
Dienstleister. Centric Software
verarbeitet personenbezogene Daten
nur für die in der Vereinbarung
festgelegten Geschäftszwecke,
einschließlich des Zwecks derDatenverarbeitung und der in diesem
DPA festgelegten
Verarbeitungsaktivitäten („Zweck“).
Als Dienstleister wird Centric
Software personenbezogene Daten desKunden nicht verkaufen oderweitergeben oder personenbezogene
Daten des Kunden (i) für einen
anderen als den vorgesehenen Zweck
aufbewahren, nutzen oder offenlegen,einschließlich der Aufbewahrung,
Nutzung oder Offenlegung
personenbezogener Daten des Kundenfür einen anderen gewerblichen Zweck
als den vorgesehenen oder wie
anderweitig durch den CCPA erlaubt;
oder (ii) außerhalb der direkten
Geschäftsbeziehung zwischen dem
Kunden und Centric Software;(c) Centric Software will (i) comply withobligations applicable to it as a service
provider under the CCPA and (ii)provide Customer Personal(c) Centric Software wird (i) die
Verpflichtungen einhalten, die für das
Unternehmen als Dienstleister im
Rahmen des CCPA gelten, und (ii) die

29
Centric Software – DPA 2023

Information with the same level ofprivacy protection as is required by the
CCPA. Customer is responsible for
ensuring that it has complied, and willcontinue to comply, with therequirements of the CCPA in its use of
the Services and its own processing ofCustomer Personal Information;

personenbezogenen Daten des Kundendas gleiche Maß an Datenschutz bieten
wie gemäß CCPA erforderlich. Der
Kunde ist dafür verantwortlich,sicherzustellen dass er bei der Nutzung
der Dienste und seiner eigenen
Verarbeitung der personenbezogenen
Daten des Kunden die Anforderungen
des CCPA erfüllt hat und weiterhin
erfüllen wird;(d) Customer will have the right to takereasonable and appropriate steps tohelp ensure that Centric Software uses
Customer Personal Information in amanner consistent with Customer’s
obligations under the CCPA;(d) Der Kunde hat das Recht,
angemessene und geeignete
Maßnahmen zu ergreifen, um
sicherzustellen, dass Centric Software
personenbezogene Daten des Kundenin einer Weise nutzt, die mit den
Verpflichtungen des Kunden gemäß
dem CCPA vereinbar ist;(e) Centric Software will provide
reasonable additional and timely
assistance to assist Customer incomplying with its obligations withrespect to consumer requests as set
forth in the Agreement.

(e) Centric Software wird dem Kunden
zeitnah in angemessenem Umfang
zusätzliche Unterstützung bei der
Erfüllung seiner Verpflichtungen in
Bezug auf Verbraucheranfragen
gemäß der Vereinbarung gewähren.

30
Centric Software – DPA 2023

APPENDIX 3 - INTERNATIONAL TRANSFERMECHANISM

1.

Order of Precedence

In the event the Services are covered by more than one
Transfer Mechanism, the Transfer of Customer’s
Personal Data will be subject to a single Transfer
Mechanism in accordance with the following order ofprecedence: (a) the Standard Contractual Clauses as set
forth in Section 2 “Standard Contractual Clauses or
SCCs” below of this Appendix 3 ; (c) the UK Addendum
as set forth in Section 4 “UK Transfers” below of thisAppendix 3; and, if neither (a) nor (b) is applicable, then(c) other applicable data Transfer Mechanisms permitted
under Applicable Data Protection Legislation.

2.

Standard Contractual Clauses

ANHANG 3 – INTERNATIONALER
ÜBERMITTLUNGSMECHANISMUS

1.

Rangfolge Der Anwendbarkeit

Für den Fall, dass die Dienste von mehr als einemÜbermittlungsmechanismus abgedeckt werden,
unterliegt die Übermittlung der personenbezogenen
Daten des Kunden einem einzigenÜbermittlungsmechanismus gemäß der folgenden
Rangfolge: (a) die Standardvertragsklauseln, wie sie inAbschnitt 2 „Standardvertragsklauseln oder SCCs“
unten in diesem Anhang 3 aufgeführt sind; (c) der
Zusatz zum Vereinigten Königreich, wie er inAbschnitt 4 „Übermittlungen aus dem Vereinigten
Königreich“ unten in diesem Anhang 3 aufgeführt ist;
und, falls weder (a) noch (b) anwendbar ist, dann (c)andere anwendbare Datenübermittlungsmechanismen,
die nach den geltenden Datenschutzgesetzen zulässig
sind.

2.

Standardvertragsklauseln

The parties agree that the Standard Contractual Clauses
will apply only to the Processing of Customer’s Personal
Data by Centric Software Transferred via the Services
from the EEA or Switzerland, either directly or via
onward transfer, to any country or recipient outside the
EEA or Switzerland to (i) any country that does not
ensure an adequate level of data protection within themeaning of EU Data Protection Legislation (ii) to any
recipient which is not subject to other binding
obligations, code of conduct or certification as
determined to be sufficient by the Supervisory Authority
or (iii) any recipient not covered by a suitable
framework recognized by the relevant authorities orcourts as providing an adequate level of protection for
personal data, including but not limited to Binding
Corporate Rules for Processors. For data transfer that are
subject to the Standard Contractual Clauses, theStandard Contractual Clauses will be deemed enteredinto, and incorporated in this DPA by this reference, andcompleted as follows:

Die Parteien vereinbaren, dass die
Standardvertragsklauseln nur für die Verarbeitung der
personenbezogenen Daten des Kunden durch Centric
Software gelten, die über die Dienste aus dem EWR oderder Schweiz entweder direkt oder durch
Weiterübermittlung in ein Land oder an einen
Empfänger außerhalb des EWR oder der Schweizübermittelt werden, und zwar (i) in ein Land, das keinangemessenes Datenschutzniveau im Sinne der EUDatenschutzgesetze gewährleistet, (ii) an einen
Empfänger, der keinen anderen verbindlichen
Verpflichtungen, einem Verhaltenskodex oder einer
Zertifizierung unterliegt, die von der Aufsichtsbehörde
als ausreichend erachtet werden, oder (iii) an einen
Empfänger, der nicht von einem geeigneten
Rahmenwerk abgedeckt ist, das von den zuständigen
Behörden oder Gerichten als ein angemessenes
Schutzniveau für personenbezogene Daten anerkannt ist,einschließlich, aber nicht beschränkt auf dieverbindlichen Unternehmensregeln (Binding Corporate
Rules) für Auftragsverarbeiter. FürDatenübermittlungen, die den Standardvertragsklauseln
unterliegen, gelten die Standardvertragsklauseln als
abgeschlossen und werden durch diesen Verweis indiesen DPA aufgenommen und wie folgt vervollständigt:(a) In Clause 9 of the SCCs, Option 2 will apply(a) In Klausel 9 der SCCs gilt Option 2, und die

31
Centric Software – DPA 2023

and the time period for written notice of subprocessor changes will be as set forth in Section
9.2 of this DPA;

Frist für die schriftliche Mitteilung vonÄnderungen des Unterauftragsverarbeiters ist in
Abschnitt 9.2 dieses DPA festgelegt;(b) In Clause 11 of the SCCs, the optional language
will not apply;(b) In Klausel 11 der SCCs findet die optionale
Formulierung keine Anwendung;(c) In Annex I, Part A of the SCCs shall becompleted as follows:(c) In Anhang I wird Teil A der SCCs wie folgt
vervollständigt:

Data Exporter:

Datenexporteur:Name: Customer, as defined in the Agreement.

Name: Kunde, wie in der Vereinbarung
definiert.

Address: Customer address as defined in theAgreement

Adresse: Adresse des Kunden, wie in der
Vereinbarung definiert

Contact person’s name, position and contact
details: the email address(es) designated by
CustomerName, Position und Kontaktdaten der
Kontaktperson: die vom Kunden angegebene(n)E-Mail-Adresse(n)Signature and Date: By entering into theAgreement, Data Exporter is deemed to havesigned these Standard Contractual Clauses
incorporated herein, including their Annexes, asof the Effective Date of this DPA.

Unterschrift und Datum: Durch den Abschluss
des Vereinbarung wird davon ausgegangen,dass der Datenexporteur diese hierin
enthaltenen Standardvertragsklauseln
einschließlich ihrer Anhänge zum Datum desInkrafttretens dieses DPA unterzeichnet hat.

Data Importer:

Datenimporteur:Name: Centric Software, as defined in theAgreement

Name: Centric Software, wie in der
Vereinbarung definiert

Address: Centric Software, as defined in theAgreement

Adresse: Centric Software, wie in der
Vereinbarung definiert

Contact person’s name and position: Centric
Software’s Data Protection Officer may becontacted by mail:privacy@centricsoftware.com

Name und Position der Kontaktperson: Der
Datenschutzbeauftragte von Centric Software
kann per E-Mail kontaktiert werden:
privacy@centricsoftware.com

Signature and Date: By entering into theAgreement, Data Importer is deemed to havesigned these Standard Contractual Clauses
incorporated herein, including their Annexes, asof the Effective Date of this DPA.

Unterschrift und Datum: Durch den Abschluss
des Vereinbarung wird davon ausgegangen,dass der Datenimporteur diese hierin
enthaltenen Standardvertragsklauseln
einschließlich ihrer Anhänge zum Datum desInkrafttretens dieses DPA unterzeichnet hat.

(d) In Annex I, Part B of the SCCs:(i)

The categories of data subjects are set
forth in Sections 1 and 2 of Appendix
1 “Description of Processing” of thisDPA;(d) Für Anhang I, Teil B der SCCs gilt:(i)

Die Kategorien der betroffenen
Personen sind in den Abschnitten 1
und 2 des Anhangs 1 „Beschreibung
der Datenverarbeitung“ dieses DPA
festgelegt;

32
Centric Software – DPA 2023

(ii)The frequency of the transfer is acontinuous basis for the duration of theAgreement;(ii)

Die Häufigkeit der Übermittlung ist
für die Dauer der Vereinbarungkontinuierlich;(iii)

The nature and purpose of theprocessing are set forth in Section 3 ofAppendix 1 “Description ofProcessing” of this DPA;(iii)

Die Art und der Zweck derDatenverarbeitung sind in Abschnitt 3
von Anhang 1 „Beschreibung derDatenverarbeitung“ dieses DPA
festgelegt;(iv)

The period for which the Customer’s
Personal Data will be retained is as set
forth in Section 4 of Appendix 1“Description of Processing” of this
DPA;

(iv)

Der Zeitraum, für den die
personenbezogenen Daten des Kunden
gespeichert werden, ist in Abschnitt 4
von Anhang 1 „Beschreibung derDatenverarbeitung“ dieses DPA
festgelegt;(v)

For processing by Sub-Processors, thesubject matter, nature and duration of
the processing is set forth in Section 5of Appendix 1 “Description ofProcessing” of this DPA.

(v)

Für die Datenverarbeitung durch
Unterauftragsverarbeiter sind
Gegenstand, Art und Dauer der
Verarbeitung in Abschnitt 5 vonAnhang 1 „Beschreibung derVerarbeitung“ dieses DPA festgelegt.

(e) In Annex I, Part C of the SCCs: the supervisory
authority with responsibility for ensuring
compliance by the Data Exporter is as provided
in Clause 13 of the SCCs.

(e) In Anhang I, Teil C der SCCs: Die
Aufsichtsbehörde, die für die Einhaltung derBestimmungen durch den Datenexporteurverantwortlich ist, ist in Klausel 13 der SCCs
festgelegt.

(f) The Centric Software TOMs serve as Annex IIof the SCCs.

(f) Die Centric Software – TOMs dienen als
Anhang II der SCCs.

3.

3.

Swiss Transfers

To the extent that Customer’s Personal Data Transfersfrom Switzerland are subject to the Standard Contractual
Clauses in accordance with Section 2 of this Appendix 3,
the following amendments will apply to the Standard
Contractual Clauses:Übermittlungen aus der Schweiz

Soweit die Übermittlung personenbezogener Daten desKunden aus der Schweiz den Standardvertragsklauseln
gemäß Abschnitt 2 dieses Anhangs 3 unterliegt, gelten
die folgenden Änderungen der Standardvertragsklauseln:(a) References to “Regulation (EU) 2016/679”
shall be interpreted as references to the Swiss
FDPA (as applicable);(a) Verweise auf die „Verordnung (EU) 2016/679“sind als Verweise auf das Schweizer DSG(soweit anwendbar) zu interpretieren;(b) References to specific Articles of “Regulation(EU) 2016/679” shall be replaced with theequivalent article or section of the Swiss FDPA
(as applicable);(b) Verweise auf bestimmte Artikel der„Verordnung (EU) 2016/679“ werden durch die
entsprechenden Artikel oder Abschnitte desSchweizer DSG (soweit anwendbar) ersetzt;(c) References to “EU”, “Union”, “Member State”
and “Member State law” shall be replaced withreferences to the “Switzerland”, or “Swiss law”(c) Verweise auf „EU“, „Union“, „Mitgliedstaat“und „mitgliedstaatliches Recht“ werden durch
Verweise auf die „Schweiz“ oder „Schweizer

33
Centric Software – DPA 2023

Recht“ (je nach Fall) ersetzt;(as applicable);(d) The term “member state” shall not beinterpreted in such a way as to exclude data
subjects in Switzerland from the possibility ofsuing for their rights in their place of habitualresidence (i.e., Switzerland);(d) Der Begriff „Mitgliedstaat“ ist nicht so
auszulegen, dass betroffene Personen in der
Schweiz von der Möglichkeit ausgeschlossen
werden, ihre Rechte an ihrem gewöhnlichen
Aufenthaltsort (d. h. der Schweiz) einzuklagen;(e) Clause 13(a) and Part C of Annex I are not used
and the “competent supervisory authority” isthe Swiss Federal Data Protection Information
Commissioner (as applicable);(e) Klausel 13(a) und Teil C von Anhang I
kommen nicht zum Einsatz, und die„zuständige Aufsichtsbehörde“ ist derEidgenössische Datenschutz- undÖffentlichkeitsbeauftragte (soweit zutreffend);(f) References to the “competent supervisory
authority” and “competent courts” shall be
replaced with references to the “Swiss Federal
Data Protection and Information
Commissioner” and “applicable courts of
Switzerland” (as applicable);(f) Verweise auf die „zuständige
Aufsichtsbehörde“ und die „zuständigen
Gerichte“ werden durch Verweise auf den„Eidgenössischen Datenschutz- undÖffentlichkeitsbeauftragten“ und die„zuständigen Gerichte der Schweiz“ (soweit
anwendbar) ersetzt;(g) In Clause 17, the SCCs shall be governed by
the laws of Switzerland; and with respect totransfers to which the Swiss FDPA applies,(g) In Klausel 17 unterliegen die SCCs den
Gesetzen der Schweiz; und in Bezug aufÜbermittlungen, auf die das Schweizer DSG
Anwendung findet, gilt:(h) Clause 18(b) shall state that disputes shall be
resolved before the applicable courts of
Switzerland.

(h) In Klausel 18(b) wird festgelegt, dassStreitigkeiten vor den zuständigen Gerichten
der Schweiz zu entscheiden sind.

4.

4.

UK TransfersÜbermittlungen aus dem Vereinigten
Königreich

Any conflict between the terms of the SCCs and the
UK Addendum shall be resolved in accordance with
Section 10 and Section 11 of the UK Addendum. In
addition, Tables 1 to 3 in Part 1 of the UK
Addendum shall be deemed completed with theinformation set out in Appendices 4 to 6. Table 4 inPart 1 of the UK Addendum shall be deemedcompleted by selecting “neither party”.

Jeder Konflikt zwischen den Bedingungen der SCCs
und dem Zusatz zum Vereinigten Königreich wirdin Übereinstimmung mit Abschnitt 10 und 11 desZusatzes zum Vereinigten Königreich gelöst.
Darüber hinaus gelten die Tabellen 1 bis 3 in Teil 1
des Zusatzes zum Vereinigten Königreich mit den in
den Anhängen 4 bis 6 aufgeführten Informationen
als vervollständigt. Tabelle 4 in Teil 1 des Zusatzes
zum Vereinigten Königreich gilt als vervollständigt,
wenn Sie „keine Partei“ auswählen.

Customer and Centric Software agree that the UK
International Data Transfer Agreement will apply to
Customer’s Personal Data that is transferred fromthe United Kingdom, either directly or via onward
transfer, to any country or recipient outside of theUnited Kingdom that is not recognized by the

Der Kunde und Centric Software vereinbaren, dassdie Vereinbarung zur Datenübermittlung im
Vereinigten Königreich (UK International Data
Transfer Agreement) auf personenbezogene Daten
des Kunden Anwendung findet, die aus dem
Vereinigten Königreich entweder direkt oder im

34
Centric Software – DPA 2023

competent United Kingdom regulatory authority or
governmental body for the United Kingdom asproviding an adequate level of protection for
personal data. For data transfers from the United
Kingdom that are subject to the UK Addendum, the
UK Addendum will be deemed entered into, andincorporated into this DPA by this reference, andcompleted as follows:

Wege der Weiterübermittlung an ein Land odereinen Empfänger außerhalb des Vereinigten
Königreichs übermittelt werden, das bzw. der vonder zuständigen britischen Aufsichtsbehörde oder
Regierungsstelle für das Vereinigte Königreich
nicht als ein Land anerkannt wird, das ein
angemessenes Schutzniveau für personenbezogene
Daten bietet. Für Datenübermittlungen aus dem
Vereinigten Königreich, die dem Zusatz zum
Vereinigten Königreich unterliegen, gilt dieser
Zusatz als vereinbart und wird durch diesen Verweis
in dieses DPA aufgenommen und wie folgt
vervollständigt:(a) In Table 1 of the UK Addendum, Customer's(a) In Tabelle 1 des Zusatzes zum Vereinigten

and Centric Software's details and key contact
information are set forth in Section 2(c) of thisAppendix 3;(b) In Table 2 of the UK Addendum, information
about the version of the Approved EU SCCs,
modules, and selected clauses, which the UK
Addendum is appended to, are set forth in
Section 2 “Standard Contractual Clauses or
SCCs” of this Appendix 3;(c) In Table 3 of the UK Addendum:

Königreich sind die Angaben des Kunden und
von Centric Software sowie die wichtigsten
Kontaktdaten in Abschnitt 2(c) dieses
Anhangs 3 festgelegt;(b) In Tabelle 2 des Zusatzes zum Vereinigten
Königreich sind Informationen über die
Version der genehmigten EU-SCCs, Module
und ausgewählte Klauseln, denen der Zusatz
zum Vereinigten Königreich beigefügt ist, inAbschnitt 2 „Standardvertragsklauseln oder
SCCs“ dieses Anhangs 3 festgelegt;(c) In Tabelle 3 des Zusatzes zum Vereinigten
Königreich:(i)

The list of Parties is set forth in
Section 2(c) of this Appendix 3;(i)

ist die Liste der Parteien in
Abschnitt 2(c) dieses Anhangs 3
festgelegt;(ii)

The description of the transfer is set
forth in Section 3 “Nature and Purposeof the Processing” of Exhibit 1“Description of the Processing”;(ii)

ist die Beschreibung der Übermittlung
in Abschnitt 3 „Art und Zweck derDatenverarbeitung“ des Anhangs 1„Beschreibung der Datenverarbeitung“
festgelegt;(iii)

Annex II is available at .

(iii)

ist Anhang II verfügbar unter .

(iv)

The Centric Software TOMs serve as
Annex II of the UK Addendum.

(iv)

dienen die Centric Software –TOMs als Anhang II des Zusatzes zum
Vereinigten Königreich.

(v)

The list of sub-processors is set forthat Centric Software List of SubProcessors; and(v)

ist die Liste derUnterauftragsverarbeiter unter Centric
Software – Liste derUnterauftragsverarbeiter festgelegt;und(d) In Table 4 of the UK Addendum, both theImporter and the exporter may end the UK(d) In Tabelle 4 des Zusatzes zum Vereinigten
Königreich können sowohl der Importeur als

35
Centric Software – DPA 2023

Addendum in accordance with the terms of the
UK Addendum.

5.

Alternative Transfer Mechanism.

To the extent Centric Software adopts an alternative
lawful data export mechanism for the Transfer ofCustomer’s Personal Data not described in this DPA(“Alternative Transfer Mechanism”), theAlternative Transfer Mechanism shall apply insteadof any applicable transfer mechanism described inthis DPA.

auch der Exporteur den Zusatz zum Vereinigten
Königreich in Übereinstimmung mit den
Bedingungen des Zusatzes zum Vereinigten
Königreich beenden.

5.

Alternativer Übertragungsmechanismus.

Soweit Centric Software einen alternativen
rechtmäßigen Datenexportmechanismus für dieÜbermittlung der personenbezogenen Daten desKunden anwendet, der nicht in diesem DPA
beschrieben ist („alternativerÜbermittlungsmechanismus“), gilt der alternativeÜbermittlungsmechanismus anstelle des in diesem
DPA beschriebenen Übermittlungsmechanismus.

36
Centric Software – DPA 2023