DATENVERARBEITUNGSNACHTRAGÜberarbeitet: 27. August 2020
Dieser Datenverarbeitungsnachtrag (Data Processing Addendum – „DPA“) ergänzt und bildet einen Teil der Dienstleistungsbedingungenoder einer sonstigen schriftlichen oder elektronischen Vereinbarung zwischen LogMeIn und dem Kunden für den Erwerb von OnlineDienstleistungen von LogMeIn (im Folgenden werden diese als „Dienstleistungen“ definiert) (die „Vereinbarung“). Der
Auftragsverarbeiter für die Bereitstellung der Dienstleistungen im Namen des LogMeIn-Konzerns ist derjenige, in dessen Gebiet derKunde die LogMeIn-Dienstleistungen beschafft hat: (a) in der Europäischen Union, dem Europäischen Wirtschaftsraum und/oder der
Schweiz, LogMeIn Ireland Limited, ein irisches Unternehmen mit Sitz in The Reflector, 10 Hanover Quay, Dublin 2, D02R73, Republik
Irland; (b) im Vereinigten Königreich, LogMeIn Technologies UK Limited, ein englisches Unternehmen mit Sitz in 5th Floor, 1-9 Hills
Place, London, W1F 7SA, Vereinigtes Königreich; und (c) für alle anderen Standorte der jeweilige LogMeIn-Vertragspartner, der hierund unter https://www.logmeininc.com/legal/contracting-entities angegeben ist (jeweils in diesem DPA als „LogMeIn“ bezeichnet).
Dieses DPA spiegelt die Vereinbarung der Parteien in Bezug auf LogMeIns Verarbeitung der Kundeninhalte, einschließlich aller darin
enthaltener Personenbezogener Daten im Namen des Kunden wider, während dieser die LogMeIn-Dienstleistungen in Anspruch nimmt.
Der Kunde schließt diese DPA in seinem eigenen Namen und, soweit dies nach den Datenschutzgesetzen und -verordnungen
erforderlich ist, im Namen seiner Autorisierten Konzernunternehmen ab, soweit diese als für die Verarbeitung Verantwortlicher zu
betrachten sind. Künftig (a) schließen alle Bezugnahmen auf den „Kunden“ den Kunden und seine Autorisierten Konzernunternehmen
ein und (b) ist „Vereinbarung“ so auszulegen, dass sie dieses DPA einschließt. Alle verwendeten Begriffe, die nicht in diesem Dokument
definiert werden, haben die in der Vereinbarung festgelegte Bedeutung. Dieses DPA besteht aus verschiedenen Teilen: dem Hauptteil
des DPA und gegebenenfalls den Anhängen 1, 2 und 3 (einschließlich der Anlagen 1 und 2). Durch die Ausfertigung dieses DPA erklären
sich LogMeIn und der Kunde damit einverstanden, die folgenden Bestimmungen in Bezug auf Personenbezogene Daten einzuhalten,
wobei jeder von ihnen angemessen und nach Treu und Glauben handelt.
AUSFERTIGUNG DIESES DPA:
Zur Ausfertigung dieses DPA muss der Kunde:
1. Die Informationen im Unterschriftsfeld vervollständigen und auf Seite 5 unterzeichnen.
2. Das ausgefüllte und unterzeichnete DPA per E-Mail an LogMeIn an DPA@logmein.com senden. Dieses DPA wird mit dem Eingang
rechtlich bindend (unter der Voraussetzung, dass die Bedingungen des DPA nicht ergänzt, überschrieben oder in sonstiger Weise
verändert wurden).
Die Unterschrift des Kunden und von LogMeIn auf Seite 5 dieses DPA stellt die Unterzeichnung und Annahme derStandardvertragsklauseln und ihrer Anlagen dar, es sei denn, die Standardvertragsklauseln sind nicht anwendbar, z. B. bei der
Verarbeitung oder Übermittlung Personenbezogener Daten in Kalifornien oder außerhalb der Europäischen Union bzw. desEuropäischen Wirtschaftsraums.
AUF WELCHE ART UND WEISE DIESES DPA ANWENDUNG FINDETDie jeweilige Rechtspersönlichkeit von LogMeIn und des Kunden, die Partei zu der Vereinbarung ist, ist Partei zu diesem DPA. Die
Autorisierten Konzernunternehmen des Kunden sind unter der Voraussetzung, dass der Kunde für die Handlungen und Unterlassungenseiner Autorisierten Konzernunternehmen haftbar bleibt, ebenfalls von diesem DPA umfasst. Zur Vermeidung von Zweifeln bleibt die
Rechtspersönlichkeit des Kunden, die die vertragschließende Partei zu der Vereinbarung ist, im eigenen und im Namen ihrer
Autorisierten Konzernunternehmen: (a) für die Koordination, Durchführung und Entgegennahme der gesamten Kommunikation mit
LogMeIn im Rahmen dieses DPA verantwortlich; und wird (b) alle hierin enthaltenen Rechte in kombinierter Weise mit LogMeIn im
Rahmen dieses DPA ausüben.
BEDINGUNGEN DER DATENVERARBEITUNG
1.

DEFINITIONEN„Konzernunternehmen“ bezeichnet jede Rechtspersönlichkeit, die direkt oder indirekt die betreffende Rechtspersönlichkeit
kontrolliert, von dieser kontrolliert wird oder mit dieser unter einer gemeinsamen Kontrolle steht. „Kontrolle“ zum Zwecke dieser
Definition bezeichnet das direkte oder indirekte Eigentum oder die Kontrolle von mehr als 50 % der Stimmrechtsanteile derbetreffenden Rechtspersönlichkeit.
„Autorisiertes Konzernunternehmen“ bezeichnet jedes Konzernunternehmen des Kunden, dass (a) den
Datenschutzgesetzen und -verordnungen unterworfen ist und (b) dem es gestattet ist, die Dienstleistungen gemäß derVereinbarung zwischen dem Kunden und LogMeIn zu nutzen, aber kein eigenes Bestellformular mit LogMeIn unterzeichnet hat
und nicht in sonstiger Weise ein „Kunde“, wie in dieser Vereinbarung definiert, ist.
„CCPA” bezeichnet das kalifornische Datenschutzgesetz für Verbraucher (California Consumer Privacy Act, Cal. Civ. Code §1798.100 ff.) in der jeweils gültigen Fassung und seine Durchführungsbestimmungen.
„Für die Verarbeitung Verantwortlicher“ bezeichnet die Rechtspersönlichkeit, die die Zwecke und Mittel der Verarbeitung
Personenbezogener Daten festlegt.
Seite 1 von 17

„Kundeninhalt“ bezeichnet alle Dateien, Dokumente, Aufzeichnungen, Chat-Logs, Abschriften und ähnliche Daten, die LogMeIn
im Namen des Kunden und/oder seiner Endnutzer hält, sowie alle anderen Informationen, die der Kunde oder seine Nutzer
gegebenenfalls in das Dienstleistungskonto des Kunden in Verbindung mit den Dienstleistungen hochladen können.
„Datenschutzgesetze und -verordnungen“ bezeichnet alle internationalen, nationalen, bundesweiten und einzelstaatlichen
Gesetze und Verordnungen, einschließlich der Gesetze und Verordnungen der Europäischen Union, des Europäischen
Wirtschaftsraums und deren Mitgliedsstaaten, der Schweiz, des Vereinigten Königreichs und der Vereinigten Staaten und ihrer
Bundesstaaten, jeweils in dem Maße, wie sie auf die Verarbeitung Personenbezogener Daten im Rahmen der Vereinbarung
anwendbar sind.
„Betroffene Person“ bezeichnet (i) die identifizierte oder identifizierbare Person, auf die sich die Personenbezogenen Daten, wie
von Datenschutzgesetzen und -verordnungen definiert, beziehen, oder (ii) einen Verbraucher, so wie dieser Begriff im CCPA
definiert ist.
„DSGVO“ bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlamentes und des Rates vom 27. April 2016 zum
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung derRichtlinie 95/46/EG (Datenschutz-Grundverordnung).
„LogMeIn-Konzern“ bezeichnet LogMeIn und die Konzernunternehmen von LogMeIn, die an der Verarbeitung
Personenbezogener Daten beteiligt sind.
„Personenbezogene Daten“ bezeichnet alle Informationen in Bezug auf (i) eine identifizierte oder identifizierbare natürliche
Person (z. B. eine Betroffene Person oder ein Verbraucher) oder (ii) eine identifizierte oder identifizierbare juristische Person(z. B. ein Haushalt nach dem CCPA) wenn diese Informationen im Namen des für die Verarbeitung Verantwortlichen durch den
Auftragsverarbeiter innerhalb seiner Dienstleistungsumgebung gepflegt werden und diese auf ähnliche Art und Weise wie
personenbezogene Daten oder Informationen sowie personenbezogene, identifizierbare Informationen nach den
Datenschutzgesetzen und -verordnungen geschützt sind.
„Verarbeitung“ bezeichnet jeden Vorgang oder jede Reihe von Vorgängen, die an Personenbezogenen Daten ausgeführt
werden, ungeachtet der Tatsache, ob dies durch automatische Mittel geschieht oder nicht, wie zum Beispiel Erhebung,Aufzeichnung, Organisation, Strukturierung, Speicherung, Anpassung oder Veränderung, Abruf, Hinzuziehung, Nutzung,Weitergabe durch Übermittlung, Veröffentlichung oder Verfügbarmachung auf sonstige Art und Weise, Abgleich oder
Kombinierung, Beschränkung, Löschung oder Zerstörung.
„Auftragsverarbeiter“ bezeichnet die Rechtspersönlichkeit, die Personenbezogene Daten im Auftrag des für die Verarbeitung
Verantwortlichen verarbeitet, einschließlich, soweit zutreffend, aller „Dienstanbieter“, so wie dieser Begriff vom CCPA definiert
wird.
„Betriebskontrollen in Bezug auf Sicherheit und Datenschutz“ bezeichnet die Betriebskontrollen in Bezug auf Sicherheit undDatenschutz (Security and Privacy Operational Controls – SPOC), die für die spezifischen, vom Kunden erworbenen oder
genutzten Dienstleistungen gelten und von Zeit zu Zeit aktualisiert werden und über das Trust & Privacy Center von LogMeInoder über www.logmeininc.com/trust unter der Registerkarte „Produktressourcen“ zugänglich sind) oder auf andere Weise von
LogMeIn zur Verfügung gestellt werden.
„Standardvertragsklauseln“ bezeichnet die von und zwischen dem Kunden und LogMeIn bestehende und diesem Dokument
als Anhang 3 beigefügte Vereinbarung gemäß dem Beschluss der Europäischen Kommission (K(2010)593) vom 5. Februar2010 zu den Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter mit Sitz inDrittländern, die kein angemessenes Datenschutzniveau sicherstellen.
„Unterauftragsverarbeiter“ bezeichnet jeden Auftragsverarbeiter, der von LogMeIn oder einem Unternehmen des LogMeInKonzerns beauftragt wird.
„Kontrollstelle“ bezeichnet eine unabhängige, öffentliche Behörde, die von einem Mitgliedsstaat der Europäischen Union
gemäß der DSGVO eingerichtet wurde.
2.

VERARBEITUNG PERSONENBEZOGENER DATEN
2.1 Rollen der Parteien: Die Parteien vereinbaren, dass hinsichtlich der Verarbeitung Personenbezogener Daten durch
LogMeIn im Namen des Kunden, der Kunde der für die Verarbeitung Verantwortliche ist und (je nachdem, was zutrifft)
LogMeIn oder Unternehmen des LogMeIn-Konzerns Auftragsverarbeiter oder Unterauftragsverarbeiter sind und LogMeIn
und/oder Unternehmen des LogMeIn-Konzerns Unterauftragsverarbeiter verpflichten, wie dies in Abschnitt 5(Unterauftragsverarbeiter) unten näher ausgeführt wird. Zur Vermeidung von Zweifeln: Die LogMeIn-Rechtspersönlichkeit,
die als Auftragsverarbeiter fungiert, ist im einleitenden (ersten) Absatz dieses DPA angegeben, und die anderen
Unternehmen des LogMeIn-Konzerns, die als Unterauftragsverarbeiter fungieren, sind in der in Anhang 1 angegebenen
Offenlegung der Verbundenen Unterauftragsverarbeiter aufgeführt.
2.2 Verantwortlichkeiten des Kunden: Bei der Nutzung der Dienstleistungen Verarbeitet der Kunde Personenbezogene
Daten im Einklang mit den Datenschutzgesetzen und -verordnungen, einschließlich der Aufrechterhaltung der rechtlichen
Grundlage (z. B. Zustimmung) und der Rechte zur Nutzung und Bereitstellung personenbezogener Daten als Teil desKundeninhalts. Die Anweisungen des Kunden für die Verarbeitung Personenbezogener Daten halten die
Datenschutzgesetze und -verordnungen ein.
2.3 Die Verantwortlichkeiten von LogMeIn: Bei der Verarbeitung von Kundeninhalten behandelt LogMeIn die
Personenbezogenen Daten des Kunden vertraulich in Übereinstimmung mit Abschnitt 6 dieses DPA und LogMeIn wird
Personenbezogene Daten nur im Namen von und in Einklang mit den dokumentierten Anweisungen des Kunden
Verarbeiten, von denen angenommen wird, dass sie für die folgenden Zwecke gegeben wurden: (i) die Verarbeitung in
Seite 2 von 17

Einklang mit der Vereinbarung und des/der maßgeblichen Bestellformulare(s); (ii) die von Nutzern bei ihrer Nutzung derDienstleistungen eingeleitete Verarbeitung und (iii) die Verarbeitung zur Einhaltung anderer dokumentierter,
angemessener Anweisungen, die von dem Kunden erteilt werden (z. B. per E-Mail), wenn diese Anweisungen im
Einklang mit den Bedingungen der Vereinbarung stehen. LogMeIn informiert den Kunden, wie gesetzlich durch die
Gesetze der Europäischen Union oder der Mitgliedstaaten, denen LogMeIn unterliegt, vorgeschrieben, über dieserechtliche Anforderung, bevor die Verarbeitung eingeleitet wird, wie in Artikel 28 der DSGVO gefordert, soweit diese
Verarbeitung Personenbezogener Daten die Übermittlung Personenbezogener Daten an ein Drittland oder eineinternationale Organisation einschließt, es sei denn, das geltende Recht der Europäischen Union oder eines
Mitgliedstaats verbietet solche Informationen aus wichtigen Gründen des öffentlichen Interesses. LogMeIn wird den
Kunden unverzüglich informieren, wenn LogMeIn der Ansicht ist, dass Anweisungen des Kunden im Widerspruch zu den
Anforderungen der Anwendbaren Datenschutzgesetze und -verordnungen stehen oder diese verletzen.
2.4 Einzelheiten der Verarbeitung: Der Sachgegenstand und die Dauer der Verarbeitung, die Art und der Zweck der
Verarbeitung, die Art der Personenbezogenen Daten und die Kategorien der Betroffenen Personen, die nach diesem DPA
Verarbeitet werden, sind in Anhang 2 (Einzelheiten der Verarbeitung) zu diesem DPA näher angegeben.
3.

RECHTE DER BETROFFENEN PERSONEN
In dem gesetzlich zulässigen Umfang, wenn LogMeIn eine Anfrage einer Betroffenen Person zur Ausübung desAuskunftsrechts, zum Recht auf Berichtigung, zur Beschränkung der Verarbeitung, zur Löschung (z. B. ein „Recht auf
Vergessenwerden“), zur Datenübertragbarkeit, zum Widerspruch gegen eine Verarbeitung oder zu deren Recht, keiner
automatisierten individuellen Entscheidungsfindung zu unterliegen, erhält, wird LogMeIn umgehend den Kunden
benachrichtigen oder in sonstiger Weise diese Betroffene Person an den Kunden verweisen. Unter Berücksichtigung der
Art und Weise der Verarbeitung unterstützt LogMeIn den Kunden durch sachdienliche technische und organisatorische
Maßnahmen, soweit dies möglich ist, zur Erfüllung der Verpflichtung des Kunden auf Anfragen zu reagieren, die sich auf
die Rechte einer Betroffenen Person nach den Datenschutzgesetzen und -verordnungen beziehen.

4.

MITARBEITER VON LOGMEIN
LogMeIn stellt sicher, dass ihre Mitarbeiter, die an der Verarbeitung Personenbezogener Daten beteiligt sind, (a) über die
Vertraulichkeit der Personenbezogenen Daten informiert sind und schriftliche Geheimhaltungsvereinbarungen ausgefertigt
haben; (b) eine sachdienliche Schulung zu ihren Aufgaben erhalten haben, insbesondere in Bezug auf die Maßnahmen zur
Gewährleistung der Sicherheit und des Datenschutzes und (c) Zugang zu Personenbezogenen Daten nur in dem Umfang
haben, der für die Ausführung von Verpflichtungen, Aufgaben oder Pflichten erforderlich ist, die in diesem DPA und derVereinbarung näher angegeben sind. Darüber hinaus stellt LogMeIn in dem gesetzlich zulässigen Umfang sicher, dass die
in diesem Abschnitt 4 näher angegebenen Geheimhaltungsverpflichtungen die Beendigung des Arbeitsverhältnissesüberdauern.

5.

UNTERAUFTRAGSVERARBEITER
5.1 Beauftragung von Unterauftragsverarbeitern: Der Kunde erkennt an und erklärt sich damit einverstanden, dass (a) die
Konzernunternehmen von LogMeIn als Unterauftragsverarbeiter beauftragt werden können und (b) LogMeIn und die
Konzernunternehmen von LogMeIn Dritt-Unterauftragsverarbeiter im Zusammenhang mit der Bereitstellung und dem
Betrieb der Dienstleistungen verpflichten können. Vor der Beauftragung von Unterauftragsverarbeitern (d.h. einer Drittpartei
oder einem LogMeIn-Konzernunternehmen) wird LogMeIn oder das LogMeIn-Konzernunternehmen den
Unterauftragsverarbeiter mit angemessener Sorgfalt prüfen und mit jedem Unterauftragsverarbeiter eine schriftliche
Vereinbarung abschließen, die sicherstellt, dass der Unterauftragsverarbeiter ausreichende und geeigneter technische undorganisatorische Maßnahmen, die das gleiche Maß an Datenschutzverpflichtungen in Bezug auf den Schutz vonKundeninhalten enthalten, umsetzt, so dass die Verarbeitung den Anforderungen der geltenden Datenschutzgesetze und-verordnungen entspricht.
5.2 Gegenwärtige Unterauftragsverarbeiter und Benachrichtigung über neue Unterauftragsverarbeiter: Der Kunde
genehmigt die Unterauftragsverarbeiter, auf die in Anhang 1 dieses DPA verwiesen wird. LogMeIn oder ein
Konzernunternehmen von LogMeIn kann nach eigenem Ermessen gemäß diesem Abschnitt 5.2 und Abschnitt 5.3
geeignete und zuverlässige (weitere) Unterauftragsverarbeiter entfernen, ersetzen oder ernennen. Die aktuellste Liste derUnterauftragsverarbeiter, die von LogMeIn für die Dienstleistungen eingesetzt werden, und deren geografischen Standort(„Offenlegung Unterauftragsverarbeiter“) finden Sie im Trust & Privacy Center von LogMeIn (auch zugänglich überwww.logmeininc.com/trust unter der Registerkarte „Produktressourcen“). LogMeIn informiert den Kunden über neue
Unterauftragsverarbeiter, indem LogMeIn dem Kunden eine aktualisierte Offenlegung im Trust & Privacy Center von
LogMeIn unter www.logmeininc.comt/trust sowie per E-Mail mindestens fünfzehn (15) Werktage vor der Autorisierung
des/der Unterauftragsverarbeiter(s) zur Verarbeitung Personenbezogener Daten im Zusammenhang mit der Bereitstellung
der entsprechenden Dienstleistungen zur Verfügung stellt. Um den Empfang solcher E-Mail-Benachrichtigungen zu
ermöglichen, kann sich der Kunde hier anmelden (auch verfügbar unter https://lp.logmeininc.com/sub-processorpreference.html).
Seite 3 von 17

5.3 Widerspruchsrechte: Der Kunde kann nach Treu und Glauben auf angemessene Weise dem Einsatz eines neuen
Unterauftragsverarbeiters durch LogMeIn oder das LogMeIn-Konzernunternehmen durch umgehende, schriftliche
Mitteilung an LogMeIn (E-Mail möglich) innerhalb von fünfzehn (15) Geschäftstagen nach der Mitteilung von LogMeIn im
Einklang mit dem in Abschnitt 5.2 dargelegten Mechanismus widersprechen. Diese Mitteilung muss die nach Treu undGlauben berechtigten Gründe des Kunden für den Widerspruch darlegen. Für den Fall, dass der Kunde einem neuen
Unterauftragsverarbeiter widersprechen sollte, wird LogMeIn wirtschaftlich angemessene Anstrengungen unternehmen,
um dem Kunden eine Änderung der Dienstleistungen zur Verfügung zu stellen oder eine wirtschaftlich angemesseneÄnderung der Konfiguration des Kunden oder der Nutzung der Dienstleistungen durch den Kunden zu empfehlen, um eine
Verarbeitung Personenbezogener Daten durch den neuen Unterauftragsverarbeiter, dem widersprochen wurde, zu
vermeiden ohne den Kunden in unangemessener Weise zu belasten. Sind die Parteien nicht in der Lage, diesenWiderspruch beizulegen oder ist LogMeIn auf andere Art und Weise nicht zu einer Lösung oder zum Bereitstellen dieserÄnderung innerhalb eines angemessenen Zeitraums bereit, kann der Kunde das/die maßgebliche(n) Bestellformular(e)hinsichtlich derjenigen Dienstleistungen kündigen, die von LogMeIn ohne den Einsatz des neuen Unterauftragsverarbeiters,dem durch eine schriftliche Mitteilung an LogMeIn widersprochen wurde, nicht erbracht werden können. LogMeIn erstattet
dem Kunden alle vorausbezahlten, ungenutzten Gebühren für den Rest der Laufzeit des/der Bestellformular(e) nach dem
Wirksamwerden der Kündigung ausschließlich in Bezug auf die gekündigten Dienstleistungen, ohne dem Kunden eine
Vertragsstrafe für diese Kündigung aufzuerlegen.
5.4 Haftung: LogMeIn haftet für die Handlungen und Unterlassungen ihrer Unterauftragsverarbeiter im gleichen Umfang, indem LogMeIn haften würde, wenn LogMeIn die Dienstleistungen eines jeden Unterauftragsverarbeiters direkt nach den
Bedingungen dieses DPA erbringen würde, sofern in der Vereinbarung nichts anderes festgelegt ist.
6.

SICHERHEIT
6.1 Schutz des Kundeninhalts: Wie in Artikel 32 der DSGVO näher ausgeführt, wird LogMeIn unter Berücksichtigung desStandes der Technik, der Kosten für die Durchführung und der Art, des Umfangs, des Kontextes und der Zwecke der
Verarbeitung sowie des Risikos einer unterschiedlichen Wahrscheinlichkeit und Schwere für die Rechte und Freiheiten
natürlicher Personen geeignete technische und organisatorische Maßnahmen zum Schutz der Sicherheit (einschließlich
des Schutzes vor einem Sicherheitsvorfall, wie nachstehend definiert), der Vertraulichkeit und Integrität vonKundeninhalten, wie in den Anwendung findenden Betriebskontrollen in Bezug auf Sicherheit und Datenschutz dargelegt,
durchführen und aufrechterhalten. LogMeIn überwacht regelmäßig die Einhaltung dieser Maßnahmen und wird nicht in
erheblicher Weise die allgemeine Sicherheit der Dienstleistungen während eines Abonnementszeitraumes verringern.
6.2 Zertifizierungen und Audits von Drittanbietern: LogMeIn stellt dem Kunden alle Informationen zur Verfügung, dieerforderlich sind, um die Einhaltung seiner Verpflichtungen gemäß Artikel 28 der DSGVO nachzuweisen, indem LogMeIn auf
Anfrage des Kunden maximal einmal jährlich folgende Informationen zur Verfügung stellt: (a) jegliche schriftliche technische
Dokumentation, die LogMeIn dem Kundenstamm von LogMeIn oder allgemein zur Verfügung stellt; und (b) Informationenüber LogMeIns Einhaltung der Verpflichtungen in diesem DPA in Form von anwendbaren Zertifizierungen und/oder Audits
durch Dritte [einschließlich derer, die in den anwendbaren Betriebskontrollen in Bezug auf Sicherheit und Datenschutz
angegeben sind, die im LogMeIn Trust & Privacy Center verfügbar sind (auch über www.logmeininc.com/trust unter derRegisterkarte „Produktressourcen“ zugänglich)]. Sofern dies nach den geltenden Datenschutzgesetzen und -verordnungen
erforderlich ist, können die vorstehenden Ausführungen auch relevante Informationen und Dokumentationen über die
Unterauftragsverarbeiter von LogMeIn enthalten, soweit diese Informationen verfügbar sind und von LogMeIn weitergegeben
werden dürfen. In dem Maße, in dem zusätzliche Prüfungsaktivitäten nach vernünftigem Ermessen für notwendig erachtet
werden, z.B. wenn es etwas des Folgenden gibt: (i) eine Anforderung gemäß den anwendbaren Datenschutzgesetzen und verordnungen; (ii) ein Sicherheitsvorfall; (iii) eine wesentliche nachteilige Änderung oder Reduzierung der relevanten
Datenschutzpraktiken für die Dienstleistungen von LogMeIn; und/oder (iv) ein Verstoß gegen die wesentlichen
Bestimmungen dieses DPA, kann der Kunde LogMeIn kontaktieren, um eine Prüfung, einschließlich Inspektionen, der fürden Schutz Personenbezogener Daten im Rahmen dieses DPA relevanten Verfahren durch den Kunden oder einen anderen
vom Kunden benannten Prüfer anzufordern. Vor Beginn eines solchen Audits vereinbaren der Kunde und LogMeIn
einvernehmlich den Umfang, den Zeitpunkt, die Dauer und/oder die erstattungsfähigen Kosten (falls zutreffend und
ausschließlich in dem nach den Datenschutzgesetzen und -verordnungen zulässigen Umfang) des Audits. Der Kunde wird
LogMeIn unverzüglich über alle im Rahmen eines Audits festgestellten Verstöße informieren. Bei der Durchführung einessolchen Audits wird der Kunde alle Anstrengungen unternehmen, um Störungen des Geschäftsbetriebs von LogMeIn sogering wie möglich zu halten.

7.

MITTEILUNGEN HINSICHTLICH DES KUNDENINHALTS
LogMeIn unterhält Richtlinien und Verfahren zum Management von Sicherheitsvorfällen, die in den Betriebskontrollen in Bezug
auf Sicherheit und Datenschutz näher angegeben sind, und LogMeIn wird den Kunden ohne schuldhaftes Verzögern über jedetatsächliche Verletzung der Sicherheit von LogMeIn informieren, die zu versehentlicher oder vorsätzlicher Zerstörung, Verlust,Änderung, unbefugter Offenlegung von oder Zugriff auf Kundeninhalt, einschließlich aller darin enthaltenen Personenbezogene
Daten, die von LogMeIn oder den Unterauftragsverarbeitern von LogMeIn übermittelt, gespeichert oder in sonstiger Weise
Verarbeitet werden, führt, von der LogMeIn Kenntnis erhält (ein „Sicherheitsvorfall“). Die nach diesem Abschnitt 7 vorgesehene
Benachrichtigung wird nicht als Schuldeingeständnis oder Haftung von LogMeIn ausgelegt oder bewertet. LogMeIn unternimmt
Seite 4 von 17

angemessene Anstrengungen, um die Ursache eines solchen Sicherheitsvorfalls zu ermitteln und die von LogMeIn für notwendig
und angemessen erachteten Maßnahmen zu ergreifen, um die Ursache eines solchen Sicherheitsvorfalls zu beheben, soweit
die Behebung innerhalb der angemessenen Kontrolle von LogMeIn liegt. Darüber hinaus stellt LogMeIn dem Kunden relevante
Informationen über den Sicherheitsvorfall zur Verfügung, die dieser vernünftigerweise benötigt, um den Kunden dabei zu
unterstützen, die Einhaltung seiner eigenen Verpflichtungen aus den Datenschutzgesetzen und -verordnungen sicherzustellen,
im Falle eines Sicherheitsvorfalles eine Kontrollstelle oder eine Betroffene Person zu informieren.
8.

LÖSCHUNG UND RÜCKGABE VON KUNDENINHALTNach der Kündigung oder dem Ablauf des Kundenvertrags, der Einstellung der Nutzung des LogMeIn-Kontos durch den Kundenoder auf schriftliche Anfrage des Kunden zu einem früheren Zeitpunkt löscht LogMeIn Kundeninhalte, einschließlich aller darin
enthaltenen Personenbezogenen Daten, und sorgt dafür, dass diese unwiederbringlich gelöscht werden, es sei denn, das Recht
der Europäischen Union oder eines Mitgliedstaates verlangt oder erlaubt die weitere Speicherung solcher Kundeninhalte
und/oder anderer Personenbezogener Daten. Die automatischen Datenspeicherfristen werden den Verfahren und Zeitrahmen
entsprechen, die in den Betriebskontrollen in Bezug auf Sicherheit und Datenschutz näher angegeben sind. LogMeIn bescheinigt
die Löschung von Kundeninhalten und erbringt auf Verlangen einen Nachweis für diese Löschung. Darüber hinaus gibt LogMeIn
auf schriftliche Anfrage des Kunden alle Kundeninhalte oder andere von LogMeIn gespeicherte Personenbezogene Daten an
den Kunden oder dessen Vertreter zurück oder weist den Kunden anderweitig an, wie ein Self-Service-Datenexport durchgeführt
werden kann (sofern verfügbar).

9.

HAFTUNGSBESCHRÄNKUNGDie Haftung der jeweiligen Parteien und aller ihrer Konzernunternehmen zusammengenommen, die aus oder in Verbindung mit
diesem DPA und allen DPA zwischen den Autorisierten Konzernunternehmen und LogMeIn entsteht, sei es aufgrund eines
Vertrages, einer unerlaubten Handlung oder nach einer anderen Haftungstheorie, unterliegt dem Abschnitt'Haftungsbeschränkung' der Vereinbarung und eine Bezugnahme auf die Haftung einer Partei bezeichnet die Gesamthaftungdieser Partei und aller ihrer Konzernunternehmen nach der Vereinbarung und allen DPAs zusammen.

10.

EUROPASPEZIFISCHE BESTIMMUNGEN
Die folgenden Bestimmungen gelten insoweit: (i) der Kunde in der Europäischen Union bzw. dem Europäischen
Wirtschaftsraum ansässig ist; oder (ii) der Kunde außerhalb der Europäischen Union bzw. des Europäischen
Wirtschaftsraumes ansässig ist, aber weiterhin den DSGVO unterliegt:
10.1 DSGVO: In dem Umfang, in dem LogMeIn Personenbezogene Daten im Namen des Kunden Verarbeitet, erfolgt dies im
Einklang mit den Vorgaben der DSGVO, die direkt auf LogMeIn bei der Bereitstellung ihrer Dienstleistungen anwendbar
sind.
10.2 Datenschutz-Folgenabschätzung: Wenn der Kunde gemäß den Datenschutzgesetzen und -verordnungen im
Zusammenhang mit der Nutzung der von LogMeIn im Rahmen dieses DPA bereitgestellten Dienstleistungen eine
Datenschutzfolgenabschätzung (oder eine vorherige Rücksprache mit einer Aufsichtsbehörde mit entsprechender
Zuständigkeit) durchführen muss, wird LogMeIn, bei der Erfüllung dieser Verpflichtungen in angemessenem Umfang
mitwirken und den Kunden dabei unterstützen, soweit diese Informationen LogMeIn zur Verfügung stehen.
10.3 Übermittlungsmechanismen: Anlage 3 zu diesem DPA gilt zusätzlich zum DPA für alle Übermittlungen
Personenbezogener Daten im Rahmen dieses DPA aus der Europäischen Union, dem Europäischen Wirtschaftsraum, derSchweiz und/oder dem Vereinigten Königreich (solange es wie ein Mitgliedstaat der Europäischen Union oder als Teil desEuropäischen Wirtschaftsraums behandelt wird) in Länder, die kein angemessenes Datenschutzniveau im Sinne derDatenschutzgesetze und -verordnungen der vorgenannten Gebiete gewährleisten.
10.4 Alternativer Datenübermittlungsmechanismus: Zur Vermeidung von Zweifeln: Sollte der in Abschnitt 10.3 näher
angegebene oder relevante Transfermechanismus von einer Aufsichtsbehörde oder einem zuständigen Gericht als ungültig
angesehen werden, werden sich die Parteien nach Treu und Glauben bemühen, einen alternativen Mechanismus
auszuhandeln (sofern dieser zur Verfügung steht), um die fortgesetzte Übermittlung Personenbezogener Daten zu
ermöglichen.

11.

KALIFORNISCHES DATENSCHUTZGESETZ FÜR VERBRAUCHER (California Consumer Privacy Act)
LogMeIn ist untersagt: (a) Personenbezogene Daten zu verkaufen oder (b) Personenbezogene Daten als Gegenleistung fürDienstleistungen oder andere Gegenstände zu erhalten, die von LogMeIn als Dienstanbieter im Rahmen dieses Vertrags
bereitgestellt oder ausgeführt werden. LogMeIn ist untersagt Personenbezogene Daten zu erheben, zu speichern oderweiterzugeben, es sei denn, dies ist für einen Geschäftszweck gemäß einem schriftlichen Vertrag (d. h. zur Bereitstellung undzum Betrieb der LogMeIn-Dienste) erforderlich und unterliegt den in Abschnitt 1798.140 (v) des CCPA festgelegten
Einschränkungen. LogMeIn verpflichtet sich, keine Maßnahmen zu ergreifen, die dazu führen würden, dass Übertragungen
Seite 5 von 17

Personenbezogener Daten an oder von Kunden als „Verkauf personenbezogener Daten“ gemäß dem CCPA oder anderenähnlichen anwendbaren Datenschutzgesetzen eingestuft werden.
12.

APEC DATENSCHUTZ ANERKENNUNG FÜR AUFTRAGSVERARBEITER (APEC Privacy Recognition for Processors)
LogMeIn und der LogMeIn-Konzern haben die Asiatisch-Pazifische Wirtschaftsgemeinschaft („APEC“) Datenschutz Anerkennung
für Auftragsverarbeiter (Privacy Recognition for Processors „PRP“) Zertifizierung erhalten und verarbeiten Personenbezogene
Daten, soweit zutreffend, in Übereinstimmung mit den Verpflichtungen und Verantwortlichkeiten eines Auftragsverarbeiters gemäß
dem APEC-Datenschutzrahmen.

13.

RECHTSWIRKSAMKEIT UND WIDERSPRUCH
Dieses DPA wird mit Abschluss der Vereinbarung zwischen dem Kunden und LogMeIn rechtsverbindlich. Nach seinem
Inkrafttreten wird dieses DPA in die Vereinbarung oder das maßgebliche Bestellformular einbezogen und bildet einen Teil vondiesen. Auf Sachfragen, die im Rahmen dieses DPA nicht angesprochen wurden, finden die Bedingungen der Vereinbarung
Anwendung. In Bezug auf die gegenseitigen Rechte und Verpflichtungen der Parteien sind im Falle eines Widerspruchs
zwischen den Bedingungen der Vereinbarung und dieses DPA die Bedingungen dieses DPA maßgeblich. Für den Fall eines
Widerspruchs zwischen den Bedingungen des DPA und den Standardvertragsklauseln, haben die Standardvertragsklauseln
Vorrang.

Aufstellung der Anhänge:Anhang 1: Genehmigte UnterauftragsverarbeiterAnhang 2: Einzelheiten der Verarbeitung
Anhang 3: Standardvertragsklauseln
Die Zeichnungsberechtigten der Parteien haben diese Vereinbarung ordnungsgemäß ausgefertigt:
Kunde:

LogMeIn:[Im eigenen Namen und im Namen jeder LogMeInRechtspersönlichkeit, die in Anhang 3 aufgeführt ist]

Durch:

Durch:

Name:

Name:

Funktion:

Funktion:

Tag des Inkrafttretens:

Seite 6 von 17

Anhang 1: Genehmigte Unterauftragsverarbeiter
Letzte Aktualisierung: August 27, 2020
Der Kunde autorisiert die Unterauftragsverarbeiter, die über die zutreffenden Hyperlinks unten und im Trust & Privacy Center(auch im Abschnitt Produktressourcen unter https://www.logmeininc.com/trust/resource-center zugänglich) angegeben werden, die
LogMeIn-Dienstleistungen, die er im Rahmen seiner Vereinbarung abonniert hat, bereitzustellen und zu betreiben:●●

Offenlegung der Verbundenen Unterauftragsverarbeiter
Kommunikations- und Kollaborationslösungen● GoToMeeting, GoToWebinar und GoToTraining● Grasshopper● Jive und GoToConnect● join.me●

Lösungen zur Kundenbindung und -betreuung● BoldChat und Bold360 ai● GoToAssist und GoToAssist Corporate● GoToAssist Remote Support (vormals: RescueAssist)● LogMeIn Rescue, Rescue Lens●

Identitäts- und Zugangslösungen● GoToMyPC● LastPass● LogMeIn Central und Pro

Seite 7 von 17

ANHANG 2: EINZELHEITEN DER VERARBEITUNG
Sachgegenstand der Verarbeitung
LogMeIn bietet ein Portfolio von cloudbasierten Kommunikations- und Kollaborationslösungen, Identitäts- und Zugangslösungen sowie
Lösungen zur Kundenbindung und -betreuung. Ziel und Gegenstand der Verarbeitung Personenbezogener Daten durch LogMeIn als
Auftragsverarbeiter ist die Betreuung des Kunden und die Bereitstellung, Unterstützung und der Betrieb der Dienstleistungen.
Dauer der Verarbeitung
LogMeIn wird, in seiner Funktion als Auftragsverarbeiter Personenbezogene Daten, für die Laufzeit der Vereinbarung (wie in den
Betriebskontrollen in Bezug auf Sicherheit und Datenschutz näher angegeben) Verarbeiten, es sei denn, es wurde etwas anderes
schriftlich vereinbart.
Art und Zweck der Verarbeitung
LogMeIn verarbeitet Personenbezogene Daten, in seiner Funktion als Auftragsverarbeiter, soweit es für die Erbringung und den Betrieb
der Dienstleistungen gemäß der Vereinbarung erforderlich ist, wie in den Betriebskontrollen in Bezug auf Sicherheit und Datenschutz
näher angegeben und durch den Kunden durch dessen Nutzung der Dienstleistungen weiter angewiesen.
Art der Personenbezogener Daten
Der Kunde kann Personenbezogene Daten an die Dienstleistungen übermitteln, deren Umfang vom Kunden nach freiem Ermessen
festgelegt und kontrolliert wird und die insbesondere die folgenden Kategorien Personenbezogener Daten enthalten können:
●
●
●
●
●
●
●
●
●

Vor- und Nachname
Position
Funktion
Arbeitgeber
Kontaktdaten (Unternehmen, E-Mail, Telefon, Geschäftsanschrift)
Geräteidentifikationsdaten und Verkehrsdaten (z. B. MAC-Adresse, Web-Protokolle usw.)
Informationen zum Berufsleben
Informationen zum Privatleben
Informationen zu Aufenthaltsorten

Kategorien Betroffener Personen
Der Kunde kann Personenbezogene Daten an die Dienstleistungen übermitteln, deren Umfang vom Kunden nach freiem Ermessen
festgelegt und kontrolliert wird und die insbesondere Personenbezogene Daten in Bezug auf die folgenden Kategorien von betroffenen
Personen enthalten können:●●●●

Interessenten, Kunden, Geschäftspartner und Lieferanten des Kunden (die natürliche Personen sind)
Mitarbeiter oder Kontaktpersonen der potenziellen Interessenten, Kunden, Geschäftspartner und Lieferanten desKundenMitarbeiter, Vertreter, Berater, freie Mitarbeiter des Kunden (die natürliche Personen sind)
Nutzer des Kunden, die zur Nutzung der Dienstleistungen autorisiert sindSeite 8 von 17

ANHANG 3: STANDARDVERTRAGSKLAUSELNSTANDARDVERTRAGSKLAUSELN (AUFTRAGSVERARBEITER)
Gemäß Artikel 26 Absatz 2 der Richtlinie 95/46/EG für die Übermittlung personenbezogener Daten an Auftragsverarbeiter, die in Drittländern
niedergelassen sind, in denen kein angemessenes Schutzniveau gewährleistet ist.
Bezeichnung der Organisation, die die Daten exportiert:
Jede Bezugnahme auf „Datenexporteur“ bezieht sich auf den Kunden und seine autorisierten Konzernunternehmen, die im Europäischen
Wirtschaftsraum und/oder in der Schweiz ansässig sind.
(der Datenexporteur)undBezeichnung der Organisation (Datenimporteur):
Land
Vereinigte Staaten

Vereinigtes Königreich

LogMeIn Rechtspersönlichkeit (soweit zutreffend)
LogMeIn, Inc.
LogMeIn USA, Inc.
Jive Communications, Inc.
Grasshopper Group, LLC
LogMeIn Technologies UK Limited

Adresse: siehe https://www.logmeininc.com/legal/contracting-entities
Tel.: +1-781-897 5580;

E-Mail:DPA@logmein.com

Sonstige Angaben, die benötigt werden, um die Organisation zu identifizieren: Nicht zutreffend(der Datenimporteur)jeweils eine „Partei“; zusammen die „Parteien“,
VEREINBAREN folgende Vertragsklauseln (die Klauseln), um angemessene Garantien hinsichtlich des Schutzes der Privatsphäre, derGrundrechte und der Grundfreiheiten von natürlichen Personen bei der Übermittlung der in Anlage 1 spezifizierten personenbezogenen Daten
vom Datenexporteur an den Datenimporteur zu bieten.

Seite 9 von 17

Klausel 1
Begriffsbestimmungen
Im Rahmen der Vertragsklauseln gelten folgende Begriffsbestimmungen:(a)„personenbezogene Daten“, „besondere Kategorien personenbezogener Daten“, „Verarbeitung“, „für die Verarbeitung Verantwortlicher“,„Auftragsverarbeiter“, „betroffene Person“ und „Kontrollstelle“ entsprechen den Begriffsbestimmungen der Richtlinie 95/46/EG desEuropäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener
Daten und zum freien Datenverkehr;(b)der „Datenexporteur“ ist der für die Verarbeitung Verantwortliche, der die personenbezogenen Daten übermittelt;(c)der „Datenimporteur“ ist der Auftragsverarbeiter, der sich bereit erklärt, vom Datenexporteur personenbezogene Daten entgegenzunehmenund sie nach der Übermittlung nach dessen Anweisungen und den Bestimmungen der Klauseln in dessen Auftrag zu verarbeiten und der nicht
einem System eines Drittlandes unterliegt, das angemessenen Schutz im Sinne von Artikel 25 Absatz 1 der Richtlinie 95/46/EG gewährleistet;(d)der „Unterauftragsverarbeiter“ ist der Auftragsverarbeiter, der im Auftrag des Datenimporteurs oder eines anderen Unterauftragsverarbeiters
des Datenimporteurs tätig ist und sich bereit erklärt, vom Datenimporteur oder von einem anderen Unterauftragsverarbeiter desDatenimporteurs personenbezogene Daten ausschließlich zu dem Zweck entgegenzunehmen, diese nach der Übermittlung im Auftrag desDatenexporteurs nach dessen Anweisungen, den Klauseln und den Bestimmungen des schriftlichen Unterauftrags zu verarbeiten;(e)„anwendbares Datenschutzrecht“ bezeichnet die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten der Personen, insbesondere
des Rechts auf Schutz der Privatsphäre bei der Verarbeitung personenbezogener Daten, die in dem Mitgliedstaat, in dem der Datenexporteur
niedergelassen ist, auf den für die Verarbeitung Verantwortlichen anzuwenden sind;(f)„technischen und organisatorischen Sicherheitsmaßnahmen“ sind die Maßnahmen, die personenbezogene Daten vor der zufälligen oderunrechtmäßigen Zerstörung, dem zufälligen Verlust, der Änderung, der unberechtigten Weitergabe oder dem unberechtigten Zugang,insbesondere wenn die Verarbeitung die Übermittlung der Daten über ein Netzwerk umfasst, und vor jeder anderen Form der unrechtmäßigen
Verarbeitung schützen sollen.
Klausel 2
Einzelheiten der Übermittlung

Die Einzelheiten der Übermittlung, insbesondere die besonderen Kategorien personenbezogener Daten, sofern vorhanden, werden in Anhang 1
erläutert, der Bestandteil dieser Klauseln ist.
Klausel 3
Drittbegünstigtenklausel
1.

Die betroffenen Personen können diese Klausel sowie Klausel 4 Buchstaben b bis i, Klausel 5 Buchstaben a bis e und g bis j, Klausel 6 Absätze
1 und 2, Klausel 7, Klausel 8 Absatz 2 sowie die Klauseln 9 bis 12 gegenüber dem Datenexporteur als Drittbegünstigte geltend machen.

2.

Die betroffene Person kann diese Klausel, Klausel 5 Buchstaben a bis e und g, die Klauseln 6 und 7, Klausel 8 Absatz 2 sowie die Klauseln 9
bis 12 gegenüber dem Datenimporteur geltend machen, wenn das Unternehmen des Datenexporteurs faktisch oder rechtlich nicht mehr
besteht, es sei denn, ein Rechtsnachfolger hat durch einen Vertrag oder kraft Gesetzes sämtliche rechtlichen Pflichten des Datenexporteursübernommen; in letzterem Fall kann die betroffene Person die Klauseln gegenüber dem Rechtsnachfolger als Träger sämtlicher Rechte und
Pflichten des Datenexporteurs geltend machen.

3.

Die betroffene Person kann diese Klausel, Klausel 5 Buchstaben a bis e und g, die Klauseln 6 und 7, Klausel 8 Absatz 2 sowie die Klauseln 9
bis 12 gegenüber dem Unterauftragsverarbeiter geltend machen, wenn sowohl das Unternehmen des Datenexporteurs als auch das desDatenimporteurs faktisch oder rechtlich nicht mehr bestehen oder zahlungsunfähig sind, es sei denn, ein Rechtsnachfolger hat durch einen
Vertrag oder kraft Gesetzes sämtliche rechtlichen Pflichten des Datenexporteurs übernommen; in letzterem Fall kann die betroffene Person
die Klauseln gegenüber dem Rechtsnachfolger als Träger sämtlicher Rechte und Pflichten des Datenexporteurs geltend machen. Eine solche
Haftpflicht des Unterauftragsverarbeiters ist auf dessen Verarbeitungstätigkeiten nach den Klauseln beschränkt.

4.

Die Parteien haben keine Einwände dagegen, dass die betroffene Person, sofern sie dies ausdrücklich wünscht und das nationale Recht dies
zulässt, durch eine Vereinigung oder sonstige Einrichtung vertreten wird.

Seite 10 von 17

Klausel 4
Pflichten des Datenexporteurs
Der Datenexporteur erklärt sich bereit und garantiert, dass:(a)die Verarbeitung der personenbezogenen Daten einschließlich der Übermittlung entsprechend den einschlägigen Bestimmungen desanwendbaren Datenschutzrechts durchgeführt wurde und auch weiterhin so durchgeführt wird (und gegebenenfalls den zuständigen Behörden
des Mitgliedstaats mitgeteilt wurde, in dem der Datenexporteur niedergelassen ist) und nicht gegen die einschlägigen Vorschriften dieses
Staates verstößt;(b)er den Datenimporteur angewiesen hat und während der gesamten Dauer der Datenverarbeitungsdienste anweisen wird, die übermittelten
personenbezogenen Daten nur im Auftrag des Datenexporteurs und in Übereinstimmung mit dem anwendbaren Datenschutzrecht und den
Klauseln zu verarbeiten;(c)der Datenimporteur hinreichende Garantien bietet in Bezug auf die in der Anlage 2 zu diesem Vertrag beschriebenen technischen undorganisatorischen Sicherheitsmaßnahmen;(d)die Sicherheitsmaßnahmen unter Berücksichtigung der Anforderungen des anwendbaren Datenschutzrechts, des Standes der Technik, derbei ihrer Durchführung entstehenden Kosten, der von der Verarbeitung ausgehenden Risiken und der Art der zu schützenden Daten hinreichend
gewährleisten, dass personenbezogene Daten vor der zufälligen oder unrechtmäßigen Zerstörung, dem zufälligem Verlust, der Änderung, derunberechtigten Weitergabe oder dem unberechtigten Zugang, insbesondere wenn die Verarbeitung die Übermittlung der Daten über ein
Netzwerk umfasst, und vor jeder anderen Form der unrechtmäßigen Verarbeitung geschützt sind;(e)er für die Einhaltung dieser Sicherheitsmaßnahmen sorgt;(f)

die betroffene Person bei der Übermittlung besonderer Datenkategorien vor oder sobald wie möglich nach der Übermittlung davon in Kenntnis
gesetzt worden ist oder gesetzt wird, dass ihre Daten in ein Drittland übermittelt werden könnten, das kein angemessenes Schutzniveau im
Sinne der Richtlinie 95/46/EG bietet;(g)

er die gemäß Klausel 5 Buchstabe b sowie Klausel 8 Absatz 3 vom Datenimporteur oder von einem Unterauftragsverarbeiter erhaltene
Mitteilung an die Kontrollstelle weiterleitet, wenn der Datenexporteur beschließt, die Übermittlung fortzusetzen oder die Aussetzung
aufzuheben;(h)er den betroffenen Personen auf Anfrage eine Kopie der Klauseln mit Ausnahme von Anlage 2 sowie eine allgemeine Beschreibung derSicherheitsmaßnahmen zur Verfügung stellt; außerdem stellt er ihnen gegebenenfalls die Kopie des Vertrags über Datenverarbeitungsdienste
zur Verfügung, der gemäß den Klauseln an einen Unterauftragsverarbeiter vergeben wurde, es sei denn, die Klauseln oder der Vertragenthalten Geschäftsinformationen; in diesem Fall können solche Geschäftsinformationen herausgenommen werden;(i)bei der Vergabe eines Verarbeitungsauftrags an einen Unterauftragsverarbeiter die Verarbeitung gemäß Klausel 11 erfolgt und die
personenbezogenen Daten und die Rechte der betroffenen Person mindestens ebenso geschützt sind, wie vom Datenimporteur nach diesen
Klauseln verlangt; und(j)er für die Einhaltung der Klausel 4 Buchstaben a bis i sorgt:
Klausel 5
Pflichten des Datenimporteurs

Der Datenimporteur erklärt sich bereit und garantiert, dass:(a)er die personenbezogenen Daten nur im Auftrag des Datenexporteurs und in Übereinstimmung mit dessen Anweisungen und den vorliegenden
Klauseln verarbeitet; dass er sich, falls er dies aus irgendwelchen Gründen nicht einhalten kann, bereit erklärt, den Datenexporteur unverzüglichdavon in Kenntnis zu setzen, der unter diesen Umständen berechtigt ist, die Datenübermittlung auszusetzen und/oder vom Vertragzurückzutreten;(b)

er seines Wissens keinen Gesetzen unterliegt, die ihm die Befolgung der Anweisungen des Datenexporteurs und die Einhaltung seiner
vertraglichen Pflichten unmöglich machen, und eine Gesetzesänderung, die sich voraussichtlich sehr nachteilig auf die Garantien und Pflichten
auswirkt, die die Klauseln bieten sollen, dem Datenexporteur mitteilen wird, sobald er von einer solchen Änderung Kenntnis erhält; unter diesen
Umständen ist der Datenexporteur berechtigt, die Datenübermittlung auszusetzen und/oder vom Vertrag zurückzutreten;(c)er vor der Verarbeitung der übermittelten personenbezogenen Daten die in Anlage 2 beschriebenen technischen und organisatorischen
Sicherheitsmaßnahmen ergriffen hat;
Seite 11 von 17

(d)er den Datenexporteur unverzüglich informiert über(i)alle rechtlich bindenden Aufforderungen einer Vollstreckungsbehörde zur Weitergabe der personenbezogenen Daten, es sei denn, dies
wäre anderweitig untersagt, beispielsweise durch ein strafrechtliches Verbot zur Wahrung des Untersuchungsgeheimnisses bei
strafrechtlichen Ermittlungen;(ii)

jeden zufälligen oder unberechtigten Zugang und(iii)

alle Anfragen, die direkt von den betroffenen Personen an ihn gerichtet werden, ohne diese zu beantworten, es sei denn, er wäre
anderweitig dazu berechtigt;(e)er alle Anfragen des Datenexporteurs im Zusammenhang mit der Verarbeitung der übermittelten personenbezogenen Daten durch den
Datenexporteur unverzüglich und ordnungsgemäß bearbeitet und die Ratschläge der Kontrollstelle im Hinblick auf die Verarbeitung derübermittelten Daten befolgt;(f)

er auf Verlangen des Datenexporteurs seine für die Verarbeitung erforderlichen Datenverarbeitungseinrichtungen zur Prüfung der unter die
Klauseln fallenden Verarbeitungstätigkeiten zur Verfügung stellt. Die Prüfung kann vom Datenexporteur oder einem vom Datenexporteur ggf.
in Absprache mit der Kontrollstelle ausgewählten Prüfgremium durchgeführt werden, dessen Mitglieder unabhängig sind, über die erforderlichen
Qualifikationen verfügen und zur Vertraulichkeit verpflichtet sind;(g)er den betroffenen Personen auf Anfrage eine Kopie der Klauseln und gegebenenfalls einen bestehenden Vertrag über die Vergabe eines
Verarbeitungsauftrags an einen Unterauftragsverarbeiter zur Verfügung stellt, es sei denn, die Klauseln oder der Vertrag enthalten
Geschäftsinformationen; in diesem Fall können solche Geschäftsinformationen herausgenommen werden; Anlage 2 wird durch eine allgemeine
Beschreibung der Sicherheitsmaßnahmen ersetzt, wenn die betroffene Person vom Datenexporteur keine solche Kopie erhalten kann;(h)er bei der Vergabe eines Verarbeitungsauftrags an einen Unterauftragsverarbeiter den Datenexporteur vorher benachrichtigt und seine
vorherige schriftliche Einwilligung eingeholt hat;(i)der Unterauftragsverarbeiter die Datenverarbeitungsdienste in Übereinstimmung mit Klausel 11 erbringt;(j)er dem Datenexporteur unverzüglich eine Kopie des Unterauftrags über die Datenverarbeitung zuschickt, den er nach den Klauseln
geschlossen hat.
Klausel 6
Haftung

1.

Die Parteien vereinbaren, dass jede betroffene Person, die durch eine Verletzung der in Klausel 3 oder 11 genannten Pflichten durch eine
Partei oder den Unterauftragsverarbeiter Schaden erlitten hat, berechtigt ist, vom Datenexporteur Schadenersatz für den erlittenen Schaden
zu erlangen.

2.

Ist die betroffene Person nicht in der Lage, gemäß Absatz 1 gegenüber dem Datenexporteur wegen Verstoßes des Datenimporteurs oderseines Unterauftragsverarbeiters gegen in den Klauseln 3 und 11 genannte Pflichten Schadenersatzansprüche geltend zu machen, weil das
Unternehmen des Datenexporteurs faktisch oder rechtlich nicht mehr besteht oder zahlungsunfähig ist, ist der Datenimporteur damit
einverstanden, dass die betroffene Person Ansprüche gegenüber ihm statt gegenüber dem Datenexporteur geltend macht, es sei denn, ein
Rechtsnachfolger hat durch Vertrag oder kraft Gesetzes sämtliche rechtlichen Pflichten des Datenexporteurs übernommen; in diesem Fall kanndie betroffene Person ihre Ansprüche gegenüber dem Rechtsnachfolger geltend machen.
Der Datenimporteur kann sich seiner Haftung nicht entziehen, indem er sich auf die Verantwortung des Unterauftragsverarbeiters für einen
Verstoß beruft.

3.

Ist die betroffene Person nicht in der Lage, gemäß den Absätzen 1 und 2 gegenüber dem Datenexporteur oder dem Datenimporteur wegen
Verstoßes des Unterauftragsverarbeiters gegen in den Klauseln 3 und 11 aufgeführte Pflichten Ansprüche geltend zu machen, weil sowohl das
Unternehmen des Datenexporteurs als auch das des Datenimporteurs faktisch oder rechtlich nicht mehr bestehen oder zahlungsunfähig sind,
ist der Unterauftragsverarbeiter damit einverstanden, dass die betroffene Person im Zusammenhang mit seinen Datenverarbeitungstätigkeiten
aufgrund der Klauseln gegenüber ihm statt gegenüber dem Datenexporteur oder dem Datenimporteur einen Anspruch geltend machen kann,es sei denn, ein Rechtsnachfolger hat durch Vertrag oder kraft Gesetzes sämtliche rechtlichen Pflichten des Datenexporteurs oder desDatenimporteurs übernommen; in diesem Fall kann die betroffene Person ihre Ansprüche gegenüber dem Rechtsnachfolger geltend machen.
Eine solche Haftung des Unterauftragsverarbeiters ist auf dessen Verarbeitungstätigkeiten nach diesen Klauseln beschränkt.

Seite 12 von 17

Klausel 7
Schlichtungsverfahren und Gerichtsstand1.

2.

Für den Fall, dass eine betroffene Person gegenüber dem Datenimporteur Rechte als Drittbegünstigte und/oder Schadenersatzansprüche
aufgrund der Vertragsklauseln geltend macht, erklärt sich der Datenimporteur bereit, die Entscheidung der betroffenen Person zu akzeptieren,
und zwar entweder:(a)die Angelegenheit in einem Schlichtungsverfahren durch eine unabhängige Person oder gegebenenfalls durch die Kontrollstelle
beizulegen oder(b)die Gerichte des Mitgliedstaats, in dem der Datenexporteur niedergelassen ist, mit dem Streitfall zu befassen.

Die Parteien vereinbaren, dass die Entscheidung der betroffenen Person nicht die materiellen Rechte oder Verfahrensrechte dieser Person,
nach anderen Bestimmungen des nationalen oder internationalen Rechts Rechtsbehelfe einzulegen, berührt.
Klausel 8
Zusammenarbeit mit Kontrollstellen

1.

Der Datenexporteur erklärt sich bereit, eine Kopie dieses Vertrags bei der Kontrollstelle zu hinterlegen, wenn diese es verlangt oder das
anwendbare Datenschutzrecht es so vorsieht.

2.

Die Parteien vereinbaren, dass die Kontrollstelle das Recht hat, eine Prüfung des Datenimporteurs und jedes Unterauftragsverarbeiters
durchzuführen, die den gleichen Umfang hat und denselben Bedingungen unterliegt, die für eine Prüfung des Datenexporteurs nach dem
geltenden Datenschutzgesetz gelten würden.

3.

Der Datenimporteur setzt den Datenexporteur unverzüglich über Rechtsvorschriften in Kenntnis, die für ihn oder etwaige
Unterauftragsverarbeiter gelten und eine Prüfung des Datenimporteurs oder von Unterauftragsverarbeitern gemäß Absatz 2 verhindern. In
diesem Fall ist der Datenexporteur berechtigt, die in Klausel 5 Buchstabe b vorgesehenen Maßnahmen zu ergreifen.
Klausel 9
Anwendbares Recht

Für diese Klauseln gilt das Recht des Mitgliedstaats, in dem der Datenexporteur niedergelassen ist.
Klausel 10Änderung des Vertrags
Die Parteien verpflichten sich, die Klauseln nicht zu verändern. Es steht den Parteien allerdings frei, erforderlichenfalls weitere geschäftsbezogene
Klauseln aufzunehmen, sofern diese nicht im Widerspruch zu der Klausel stehen.
Klausel 11
Vergabe eines Unterauftrags
1.

Der Datenimporteur darf ohne die vorherige schriftliche Einwilligung des Datenexporteurs keinen nach den Klauseln auszuführenden
Verarbeitungsauftrag dieses Datenexporteurs an einen Unterauftragnehmer vergeben. Vergibt der Datenimporteur mit Einwilligung desDatenexporteurs Unteraufträge, die den Pflichten der Klauseln unterliegen, ist dies nur im Wege einer schriftlichen Vereinbarung mit dem
Unterauftragsverarbeiter möglich, die diesem die gleichen Pflichten auferlegt, die auch der Datenimporteur nach den Klauseln erfüllen muss.
Sollte der Unterauftragsverarbeiter seinen Datenschutzpflichten nach der schriftlichen Vereinbarung nicht nachkommen, bleibt derDatenimporteur gegenüber dem Datenexporteur für die Erfüllung der Pflichten des Unterauftragsverarbeiters nach der Vereinbarung
uneingeschränkt verantwortlich.

2.

Die vorherige schriftliche Vereinbarung zwischen dem Datenimporteur und dem Unterauftragsverarbeiter muss gemäß Klausel 3 auch eine
Drittbegünstigtenklausel für Fälle enthalten, in denen die betroffene Person nicht in der Lage ist, einen Schadenersatzanspruch gemäß Klausel
6 Absatz 1 gegenüber dem Datenexporteur oder dem Datenimporteur geltend zu machen, weil diese faktisch oder rechtlich nicht mehr bestehenoder zahlungsunfähig sind und kein Rechtsnachfolger durch Vertrag oder kraft Gesetzes sämtliche rechtlichen Pflichten des Datenexporteursoder des Datenimporteurs übernommen hat. Eine solche Haftpflicht des Unterauftragsverarbeiters ist auf dessen Verarbeitungstätigkeiten nachden Klauseln beschränkt.
Seite 13 von 17

3.

Für Datenschutzbestimmungen im Zusammenhang mit der Vergabe von Unteraufträgen über die Datenverarbeitung gemäß Absatz 1 gilt das
Recht des Mitgliedstaats, in dem der Datenexporteur niedergelassen ist.

4.

Der Datenexporteur führt ein mindestens einmal jährlich zu aktualisierendes Verzeichnis der mit Unterauftragsverarbeitern nach den Klauseln
geschlossenen Vereinbarungen, die vom Datenimporteur nach Klausel 5 Buchstabe j übermittelt wurden. Das Verzeichnis wird der Kontrollstelledes Datenexporteurs bereitgestellt.
Klausel 12
Pflichten nach Beendigung der Verarbeitungsdienste für personenbezogene Daten

1.

Die Parteien vereinbaren, dass der Datenimporteur und der Unterauftragsverarbeiter bei Beendigung der Datenverarbeitungsdienste je nach
Wunsch des Datenexporteurs alle übermittelten personenbezogenen Daten und deren Kopien an den Datenexporteur zurückschicken oder allepersonenbezogenen Daten zerstören und dem Datenexporteur bescheinigen, dass dies erfolgt ist, sofern die Gesetzgebung, welcher derDatenimporteur unterliegt, diesem die Rückübermittlung oder Zerstörung sämtlicher oder Teile der übermittelten personenbezogenen Daten
nicht untersagt. In diesem Fall garantiert der Datenimporteur, dass er die Vertraulichkeit der übermittelten personenbezogenen Daten
gewährleistet und diese Daten nicht mehr aktiv weiterverarbeitet.

2.

Der Datenimporteur und der Unterauftragsverarbeiter garantieren, dass sie auf Verlangen des Datenexporteurs und/oder der Kontrollstelle ihre
Datenverarbeitungseinrichtungen zur Prüfung der in Absatz 1 genannten Maßnahmen zur Verfügung stellen.
Unterschriften: Siehe Seite 6.

Seite 14 von 17

ANLAGE 1 ZU DEN STANDARDVERTRAGSKLAUSELN
Diese Anlage ist Bestandteil der Klauseln und muss von den Parteien ausgefüllt und unterzeichnet werden.
Die Mitgliedsstaaten können nach ihren nationalen Verfahren alle zusätzlichen Angaben vervollständigen oder näher angeben, die in dieser Anlage
enthalten sein müssen.
Datenexporteur
Der Datenexporteur ist (geben Sie bitte kurz Ihre für die Übertragung bedeutsamen Tätigkeiten näher an):Der Kunde und seine Autorisierten Konzernunternehmen, die im Europäischen Wirtschaftsraum und/oder in der Schweiz ansässig sind.
Datenimporteur
Der Datenimporteur ist (geben Sie bitte kurz die für die Übertragung bedeutsamen Tätigkeiten näher an):
LogMeIn bietet ein Portfolio von cloudbasierten Kommunikations- und Kollaborationslösungen, Identitäts- und Zugangslösungen sowie Lösungen zur
Kundenbindung und -betreuung, die Personenbezogene Daten auf schriftliche Anweisung des Datenexporteurs gemäß den Bedingungen der
Vereinbarung und dieses DPA verarbeiten.
Betroffene Personen
Die übermittelten personenbezogenen Daten betreffen folgende Kategorien betroffener Personen (bitte genau angeben):Der Datenexporteur kann Personenbezogene Daten an die Dienstleistungen übermitteln, deren Umfang vom Datenexporteur nach freiem
Ermessen festgelegt und kontrolliert wird und die insbesondere, aber nicht ausschließlich, Personenbezogene Daten in Bezug auf die folgenden
Kategorien von betroffenen Personen enthalten können:●

Interessenten, Kunden, Geschäftspartner und Lieferanten des Datenexporteurs (die natürliche Personen sind)●

Mitarbeiter oder Kontaktpersonen der potenziellen Interessenten, Kunden, Geschäftspartner und Lieferanten desDatenexporteurs●

Mitarbeiter, Vertreter, Berater, freie Mitarbeiter des Datenexporteurs (die natürliche Personen sind)●Alle anderen Nutzer (die natürliche Personen sind), die vom Datenexporteur zur Nutzung der Dienstleistungen autorisiert sind

Kategorien von Daten
Die übermittelten personenbezogenen Daten betreffen die folgenden Datenkategorien (bitte genau angeben):Der Datenexporteur kann Personenbezogene Daten an die Dienstleistungen übermitteln, deren Umfang vom Datenexporteur nach freiem Ermessen
festgelegt und kontrolliert wird, und die insbesondere, aber nicht ausschließlich, Personenbezogene Daten in Bezug auf die folgenden Kategorien
Personenbezogener Daten enthalten können:●

Vor- und Nachname●

Position●

Funktion●

Arbeitgeber●

Kontaktdaten (z. B. Unternehmen, E-Mail, Telefon, Geschäftsanschrift)●

Geräteidentifikationsdaten und Verkehrsdaten (z. B. MAC-Adresse, Web-Protokolle usw.)●

Informationen zum Berufsleben●

Informationen zum Privatleben●

Informationen zu Aufenthaltsorten

Besondere Datenkategorien (falls zutreffend)
Die übermittelten personenbezogenen Daten umfassen folgende besondere Datenkategorien (bitte genau angeben):Seite 15 von 17

Die Parteien gehen nicht davon aus, dass besondere Informationskategorien zur Verfügung gestellt werden; der Datenexporteur kann jedochbesondere Kategorien von Daten an die Dienstleistungen übermitteln, deren Umfang vom Datenexporteur nach eigenem Ermessen festgelegt undkontrolliert wird.
Verarbeitung
Die übermittelten personenbezogenen Daten werden folgenden grundlegenden Verarbeitungsmaßnahmen unterzogen (bitte genau angeben):Das Ziel der Verarbeitung Personenbezogener Daten durch den Datenimporteur besteht in der Förderung der Betreuung des Kunden sowie derErbringung und des Betriebs der Dienstleistungen gemäß der Vereinbarung.
Unterschriften: Siehe Seite 6.

Seite 16 von 17

ANLAGE 2 ZU DEN STANDARDVERTRAGSKLAUSELN
Diese Anlage ist Bestandteil der Klauseln und muss von den Parteien ausgefüllt und unterzeichnet werden.
Beschreibung der technischen oder organisatorischen Sicherheitsmaßnahmen, die der Datenimporteur gemäß Klausel 4 Buchstabed und Klausel 5 Buchstabe c eingeführt hat (oder Dokument/Rechtsvorschrift beigefügt):Der Datenimporteur unterhält administrative, physische und technische Sicherheitsvorkehrungen zum Schutz der Sicherheit, Vertraulichkeit
und Integrität aller Personenbezogenen Daten, die in die Dienstleistungen hochgeladen oder anderweitig im Auftrag des Datenexporteurs(als für die Verarbeitung Verantwortlicher) gepflegt werden, wie in den Betriebskontrollen in Bezug auf Sicherheit und Datenschutzbeschrieben, die über das Trust & Privacy Center von LogMeIn unter www.logmeininc.com/trust unter der Registerkarte „Produktressourcen“zugänglich sind (für beste Ergebnisse verwenden Sie die Funktion „Filtern nach“, um die zutreffende Dienstleistung anzugeben). Der
Datenimporteur behält sich das Recht vor, die Betriebskontrollen in Bezug auf Sicherheit und Datenschutz von Zeit zu Zeit zu aktualisieren,vorausgesetzt, dass die geänderten technischen und organisatorischen Maßnahmen nicht weniger schützend sind als die in den
Betriebskontrollen in Bezug auf Sicherheit und Datenschutz.
Unterschriften: Siehe Seite 6.

Seite 17 von 17