Verbindliche interne
Datenschutzvorschriften(Binding Corporate Rules –BCRs)Richtlinie für
AuftragsverarbeiterINHALT
1.

EINLEITUNG ........................................................................................................................... 3

2.

Schlüsselwörter ..................................................................................................................... 63.

VERPFLICHTUNG ALS Auftragsverarbeiter .......................................................................... 10
Verpflichtungen als Auftragsverarbeiter ..................................................................... 10
Rechte der Kunden....................................................................................................... 14

4.

Personenbezogene Datenübertragungen ........................................................................... 15Übertragungen von personenbezogenen Daten ......................................................... 15

5.

Praktische Verpflichtungen ................................................................................................. 16
Sicherheit und Vertraulichkeit ..................................................................................... 16
Rechenschaftspflicht .................................................................................................... 17
Schulungsprogramm .................................................................................................... 18
Prüfprogramm.............................................................................................................. 18
Verhältnis zwischen nationalen Gesetzen und den BCRs ............................................ 18
Beschwerdemechanismen ........................................................................................... 20
Zusammenarbeit mit Behörden ................................................................................... 20
Aktualisierungen der Regeln ........................................................................................ 20

6.

Rechte und Haftung des Drittbegünstigten ........................................................................ 21
Rechte des Drittbegünstigten ...................................................................................... 21
Haftung und Beweislast ............................................................................................... 22

7.

Schlussbestimmungen......................................................................................................... 24
Schlussbestimmungen ................................................................................................. 24

Appendix I

Liste der Unternehmen der KUMON-Gruppe................................................... 25

Appendix II

Betreffende Zugang und Beschwerdeverfahren .............................................. 26

1

Beschwerde bei KUMON ................................................................................................. 26

1

2

Rechte von Einzelpersonen : Betreffende Zugriffsanfragen ............................................ 28

3

Rechte von Einzelpersonen: Andere Anfragen ................................................................ 29

ANHANG III Compliance-Struktur................................................................................................ 30
1

Global Data Protection Officer (globaler Datenschutzbeauftragter) .............................. 30

2

Global Data Protection Team .......................................................................................... 31

3

Lokaler Datenschutzmanager .......................................................................................... 31

4Interne Kommunikationsverfahren für Mitarbeiter ........................................................ 32

anhang iV Schulungsprotokoll ..................................................................................................... 33
1

Mitarbeiterschulung ........................................................................................................ 33

anhang v Prüfverfahren-Protokoll............................................................................................... 34
1

Prüfungsgrundsätze ......................................................................................................... 34

2

Struktur der Prüfung ........................................................................................................ 34

3

Prüfverfahren................................................................................................................... 34

ANHANG VI Update-Verfahren ................................................................................................... 361Änderungen an den BCRs ................................................................................................ 36

2

Nicht genehmigungspflichtige Änderungen an den BCRs ............................................... 36

2

1. EINLEITUNG
Wer sind wir?
KUMON ist ein weltweit führender Anbieter von individualisiertem Unterricht, geleitet vom
KUMON Institute of Education Co., Ltd. mit Sitz in Japan. KUMON bietet Lernprogramme fürSchüler verschiedener Altersgruppen an, die auf der unabhängig entwickelten "KUMONMethode" basieren. Diese Lernprogramme werden durch KUMONs globales Netzwerk vonfranchise- und firmeneigenen KUMON-Lerncentern und Partnerlizenznehmern angeboten.

Was sind die BCRs?
Um unser Ziel zu erreichen, so vielen Menschen wie möglich dabei zu helfen, ihr Potenzial zu
entdecken und ihre Fähigkeiten durch die KUMON-Methode maximal zu entwickeln, gibt
KUMON manchmal personenbezogene Daten zwischen den Unternehmen der KUMON-Gruppe
weiter. Es ist für uns wichtig, dass wir personenbezogene Daten mit angemessenem Schutzbehandeln. KUMON übernimmt die zugrundeliegenden verbindlichen internen
Datenschutzvorschriften (Binding Corporate Rules oder BCRs genannt), um die Prinzipien von
KUMON zum Schutz persönlicher Daten und die Regeln, die wir befolgen, wenn wir
personenbezogene Daten mit KUMON Group-Unternehmen außerhalb des EWR teilen,
festzulegen.
Die BCRs bestehen aus zwei Gruppen von Richtlinien: Die BCRs – Richtlinie für Verantwortlicheund die BCRs – Richtlinie für Auftragsverarbeiter. Dieses Dokument enthält die BCRs –Richtlinie für Auftragsverarbeiter und wird hier im Folgenden einfach als "BCRs" bezeichnet.
Diese BCRs beschreiben, wie die Unternehmen der KUMON-Gruppe die Datenschutzgesetzeeinhalten, wenn sie als Auftragsverarbeiter für Dritte, einschließlich Franchise-Instructor, tätig
sind.
Diese BCRs werden auf den entsprechenden Websites von KUMON veröffentlicht.

Was wird durch die BCRs abgedeckt?
Diese BCRs decken das Erheben von personenbezogenen Daten aus dem EWR durch die
Unternehmen der KUMON-Gruppe (siehe die Liste in Anhang I) sowie die Übermittlung vonDaten zwischen Unternehmen der KUMON-Gruppe und alle anderen Verarbeitungen vonDaten ab. Dies kann Folgendes umfassen:3Franchise-Instructor
Name, Adresse, Name des Lerncenters, Kontaktinformationen,
Berufs- und Ausbildungsinformationen, Erfahrung und Werdegang
Daten-Kategorien

des Instructors sowie andere Informationen, die vom FranchiseInstructor im dedizierten Server und in den Systemen für den
Betrieb von KUMON-Studienzentren gepflegt werdenÜbertragungen

An KUMON Institute of Education Co., Ltd. mit Sitz in Japanaußerhalb des EWRAn KUMON Europe & Africa Limited, mit Sitz in GroßbritannienBereitstellung von IT-Support und Wartung des dedizierten
Servers und der Systeme, die von den Instructorn für den Betrieb

Verwendungszwecke

der KUMON-Lerncenter verwendet werdenSchüler, die mit dem

Unterstützung im Büro/Verwaltung

KUMON-Programm lernen (oder daran interessiert sind)Name, Schüler-ID, Name des Lerncenters, Adresse, Alter, Schulnote,

Daten-Kategorien

Lernfortschritt, Dauer und andere Informationen, die vom FranchiseInstructor im dedizierten Server und den Systemen für den Betrieb
von KUMON-Lerncenter gepflegt werdenÜbertragungen

An KUMON Institute of Education Co., Ltd. mit Sitz in Japanaußerhalb des EWRAn KUMON Europe & Africa Limited, mit Sitz in GroßbritannienBereitstellung von IT-Support und Wartung des dedizierten
Servers und der Systeme, die von den Instructorn für den Betrieb

Verwendungszwecke

der KUMON-Lernzentren verwendet werden

Unterstützung im Büro/Verwaltung

Eltern von Schülern
Name, Name des Schülers, Beziehung zum Schüler, Adresse,
Daten-Kategorien

Kontaktinformationen und andere Informationen, die vom
Franchise-Instructor im dedizierten Server und den Systemen fürden Betrieb von KUMON-Lernzentren gepflegt werdenÜbertragungen

An KUMON Institute of Education Co., Ltd. mit Sitz in Japanaußerhalb des EWRAn KUMON Europe & Africa Limited, mit Sitz in GroßbritannienBereitstellung von IT-Support und Wartung des dedizierten

Verwendungszwecke

Servers und der Systeme, die von den Lehrern für den Betrieb
der KUMON-Lernzentren verwendet werden

4

Unterstützung im Büro/Verwaltung

Die BCRs gelten für alle Arten von Verarbeitungen, ob automatisiert oder manuell, gleichwelcher Art.

Wer muss die BCRs beachten?
Die in Appendix Iaufgeführten Unternehmen der KUMON-Gruppe und ihre Mitarbeiter müssen die
BCRs befolgen. Jedes dieser Unternehmen der KUMON-Gruppe ist durch eine konzerninterne
Vereinbarung an die BCRs gebunden und verpflichtet sich, die notwendigen Schritte zu
unternehmen, um sicherzustellen, dass es und seine jeweiligen Mitarbeiter diese BCRs einhalten.
Die Liste der Unternehmen der KUMON-Gruppe in Appendix Ikann von Zeit zu Zeit gemäß dem in
0beschriebenen Aktualisierungsverfahren für BCRs aktualisiert werden.

Ich habe eine Frage zu den BCRs. Wen soll ich fragen?
Bei Fragen oder Bedenken bezüglich der BCRs und ihrer Rechte in Bezug auf die von einem
Mitglied der KUMON-Gruppe erhobenen und verarbeiteten Daten können sich Einzelpersonen
an das Global Data Protection Team unter der folgenden E-Mail-Adresse wenden:
bcr@kumon.co.jp

5

2. SCHLÜSSELWÖRTER
Für die Zwecke der BCRs haben die nachstehenden Schlüsselwörter die folgenden Bedeutungen:(a) "Kind" oder "Kinder"

Personen unter 16 Jahren (oder in jedem anderen Alter,in dem die Zustimmung eines Erziehungsberechtigten
nach den einschlägigen EWR-Gesetzen erforderlich ist,
um die personenbezogenen Daten der Person zu
verarbeiten).

(b) "Kunde"Wenn KUMON als Auftragsverarbeiter agiert, verarbeitet
der Datenverantwortliche oder Auftragsverarbeiter
KUMON personenbezogene Daten im Auftrag. Zur
Vermeidung von Zweifeln ist der Kunde niemals ein
anderes Unternehmen der KUMON-Gruppe.

(c)"Kundenvertrag"

Die Vereinbarung zwischen KUMON und einem Kunden,
in der die Bedingungen für die Verarbeitung
personenbezogener Daten festgelegt sind.

(d) "Daten-Verantwortlicher"

Die natürliche oder juristische Person, Behörde,Einrichtung oder jede andere Stelle, die allein oder
gemeinsam mit anderen über die Zwecke und Mittel der
Verarbeitung von personenbezogenen Daten entscheidet
oder die nach geltendem Recht als solche benannt
wurde.

(e)"Auftragsverarbeiter"

Eine natürliche oder juristische Person, Behörde,Einrichtung oder jede andere Stelle, diepersonenbezogene Daten im Auftrag desVerantwortlicher verarbeitet.

(f)

"EWR"

Der Europäische Wirtschaftsraum. Ungeachtet desVorstehenden ist während der Übergangszeit, in der das
Vereinigte Königreich an die EU-Gesetze gebunden ist,
der Begriff "EWR" so auszulegen, dass er das Vereinigte
Königreich einschließt.

6

(g)

"EWR-Gesetze"

Die Gesetze der Europäischen Union und desMitgliedstaates, aus dem die personenbezogenen Datenursprünglich gewonnen oder erstmals innerhalb des EWR
verarbeitet wurden.

(h) "EWR Leitende Stelle"

KUMON Europe & Africa, Ltd., ein Unternehmen der
KUMON-Gruppe mit Sitz und Geschäftstätigkeit im
Vereinigten Königreich. Ungeachtet des Vorstehenden
wird KUMON Instituto de Educación de España S. A., ein
in Spanien niedergelassenes und operierendes
Unternehmen der KUMON-Gruppe, nach Ablauf derÜbergangszeit, in der das Vereinigte Königreich an die
EU-Gesetze gebunden ist, zum EWR-Leiter.

(i)"Mitarbeiter"

Jede Person innerhalb der Organisation eines
Unternehmens der KUMON-Gruppe, die unter direkteroder indirekter Leitung und Aufsicht des Unternehmens
der KUMON-Gruppe am Betrieb des Unternehmens
beteiligt ist, was neben Mitarbeitern mit einem
Angestelltenverhältnis (Vollzeitmitarbeiter,
Vertragsmitarbeiter, Teilzeitmitarbeiter usw.) auchleitende Angestellte, Direktoren,
Unternehmensrevisoren und Zeitarbeiter usw. umfasst.
Zur Vermeidung von Zweifeln schließt der Begriff"Mitarbeiter" keine unabhängigen Auftragnehmer,
Subunternehmer oder Instructor/Personal von KUMONZentren ein.

(j)"Franchise-Instructor"

Jeder Instructor, der autorisiert wurde, Schüler auf derGrundlage der KUMON-Methodeanzuleiten, weil ereinen Franchise-Vertrag mit KUMON abgeschlossen hat.
(k)

"DSGVO"

Verordnung (EU) 2016/679 des Europäischen Parlaments
und des Rates vom 27. April 2016 zum Schutz natürlicher
Personen bei der Verarbeitung personenbezogener
Daten, zum freien Datenverkehr und zur Aufhebung der7Richtlinie 95/46/EG (Datenschutz-Grundverordnung), mit
den jeweils geltenden Änderungen.
(l)" Erziehungsberechtigter"

Ein Elternteil oder eine Person mit elterlicher
Verantwortung für eine bestimmte Person.

(m) "Einzelperson oder betroffene Person"

Die in den angegebenen personenbezogenen Daten, dievon einem Unternehmen der KUMON Group im EWR an
ein Unternehmen der KUMON Group außerhalb des EWRübertragen wurden, betroffene Person.

(n) "KIE"

KUMON Institute of Education Co., Ltd.

(o) "KUMON"

Das jeweilige Unternehmen der KUMON-Gruppe oderalle Unternehmen der KUMON-Gruppe zusammen, je
nach Kontext.

(p) "Unternehmen der KUMON-Gruppe"

Jede der in Appendix I, die von Zeit zu Zeit gemäß
0aktualisiert wird, aufgeführten Stellen.

(q) "Leitende Aufsichtsbehörde"Die spanische Datenschutzaufsichtsbehörde (Agencia
Española de Protección de Datos (AEPD)) oder eine
andere Aufsichtsbehörde, die nach geltendem Recht
ordnungsgemäß als leitende Aufsichtsbehörde für die
BCRs benannt ist.

(r)

"Mitgliedsstaat"

Jedes Land innerhalb des EWR.

(s)

"Personenbezogene Daten"

Alle aus dem EWR stammenden Informationen, die sichauf eine natürliche Person beziehen, die direkt oderindirekt identifiziert werden kann, insbesondere durch
Zuordnung zu einer Kennung wie einem Namen, zu einer
Kennnummer, zu Standortdaten, zu einer OnlineKennung oder zu einem oder mehreren besonderen
Merkmalen, die Ausdruck der physischen,physiologischen, genetischen, psychischen,wirtschaftlichen, kulturellen oder sozialen Identität
dieser natürlichen Person sind.

8

(t)

"Verarbeitung"

Jeder mit oder ohne Hilfe automatisierter Verfahren(von personenbezogenen Daten)

ausgeführte Vorgang und jede Vorgangsreihe im
Zusammenhang mit personenbezogenen Daten odereiner Reihe personenbezogener Daten, wie das Erheben,
das Erfassen, die Organisation, die Strukturierung, die
Speicherung, die Anpassung oder Veränderung, dasAuslesen, das Abfragen, die Benutzung, die Offenlegung
durch Übermittlung, Verbreitung oder eine andere Formder Bereitstellung, den Abgleich oder die Verknüpfung,
die Einschränkung, das Löschen oder die Vernichtung.

(u) "Verarbeitungsland"

Das Land, in dem die angegebenen personenbezogenen
Daten verarbeitet werden sollen.

(v)"Besondere Kategorien von

Personenbezogene Daten, aus denen die rassische oderpersonenbezogenen Daten"

ethnische Herkunft, politische Meinung, religiöse oderphilosophische Überzeugung oder die
Gewerkschaftszugehörigkeit hervorgehen, sowie
allgemeine Daten, biometrische Daten oder Daten überGesundheit oder Sexualleben oder sexuelle Orientierung
einer natürlichen Person.

(w) "Aufsichtsbehörde"Eine unabhängige öffentliche Behörde, die von einem
Mitgliedstaat eingerichtet wird und für die Überwachungder Anwendung der DSGVO zuständig ist.

(x)

"Dritter"Eine natürliche oder juristische Person, Behörde, Agentur
oder Einrichtung, die nicht die Einzelperson, derDatenverantwortliche oder KUMON als
Auftragsverarbeiter ist. Zur Vermeidung von Zweifeln
schließt der Begriff "Dritter" keine anderen
Unternehmen der KUMON-Gruppe ein.

(y)"Drittbegünstigter"

Die Person, die Rechte als Drittbegünstigter gemäß
Abschnitt 6.1.1hat.

93. VERPFLICHTUNG ALS AUFTRAGSVERARBEITER
Verpflichtungen als Auftragsverarbeiter
3.1.1

Grundverpflichtungen Wo KUMON als Auftragsverarbeiter agiert:(a)

KUMON verarbeitet personenbezogene Daten nur in Übereinstimmung mit den
dokumentierten Anweisungen des Kunden, einschließlich für Datenübertragungenin Drittländer, es sei denn, es ist nach geltendem Recht, dem es unterliegt, zur
Verarbeitung von Daten verpflichtet. In einem solchen Fall informiert KUMON den
Kunden über diese gesetzliche Anforderung, bevor die Verarbeitung stattfindet, es
sei denn, das geltende Recht verbietet eine solche Information aus wichtigen
Gründen des öffentlichen Interesses. Jedes in Appendix Iaufgeführte Mitglied der
KUMON-Gruppe, das als Auftragsverarbeiter agiert, und seine Mitarbeiter müssen
die Anweisungen des Kunden bezüglich der Datenverarbeitung und der Sicherheitsund Vertraulichkeitsmaßnahmen, wie in der Kundenvereinbarung vorgesehen undin (b) unten angegeben, respektieren;(b)

KUMON muss alle angemessenen technischen und organisatorischen Maßnahmenumsetzen, um ein Sicherheitsniveau zu gewährleisten, das dem Risiko der
Verarbeitung angemessen ist (wie aus den Bestimmungen von Abschnitt 5.1folgt),
und muss technische und organisatorische Maßnahmen umsetzen, die in derKundenvereinbarung festgelegt sind, einschließlich aller Verpflichtungen, die die
Sicherheit der Daten in Übereinstimmung mit der DSGVO gewährleisten. In diesem
Zusammenhang unterstützt KUMON den Kunden dabei, die Einhaltung seiner
Verpflichtungen zu gewährleisten;(c)

KUMON stellt sicher, dass es alle notwendigen Maßnahmen gemäß den
AnforderungendesKundendurchführt,umsicherzustellen,

dass

die

personenbezogenen Daten auf dem neuesten Stand und angemessen sind,korrigiert oder gelöscht werden. KUMON stellt sicher, dass alle Unternehmen der
KUMON-Gruppe oder externe Unterauftragsverarbeiter, an die die Datenmöglicherweise weitergegeben wurden, über die Berichtigung oder Löschung vonDaten informiert werden;
(d)

KUMON

ergreift

Maßnahmen

zur

LöschungoderAnonymisierungderpersonenbezogenen Daten, die es im Namen des Kunden verarbeitet, gemäß den
Wünschen des Kunden, ab dem Zeitpunkt, an dem die Identifizierung nicht mehr
erforderlich ist, und stellt sicher, dass jede Einheit, an die die Daten möglicherweise

10weitergegeben wurden, über die Löschung oder Anonymisierung der Daten
informiert wird;(e)

KUMON unterliegt einer Pflicht zur Transparenz und Fairness und hilft undunterstützt daher den Kunden bei der Einhaltung des Gesetzes, insbesondere derDatenschutzanforderungen, in einem angemessenen Zeitraum und in einem
angemessenen Umfang, einschließlich der Übermittlung aller nützlichen
Informationen, um dem Kunden zu helfen, auf Anfragen von Einzelpersonen
bezüglich der Ausübung ihrer Rechte zu reagieren, ihre Beschwerden zu bearbeiten
und dem Kunden zu helfen, in der Lage zu sein, auf Untersuchungen oder Anfragen
der Aufsichtsbehörde zu antworten;(f)

KUMON führt auf Anfrage des Kunden alle notwendigen Maßnahmen durch, soweit
dies möglich ist, um die Verpflichtungen des Kunden zur Beantwortung vonAnfragen zur Ausübung der Rechte der betroffenen Person zu erfüllen,
einschließlich der Übermittlung aller nützlichen Informationen, um dem Kunden zu
helfen, die Pflicht zur Achtung der Rechte der Einzelperson zu erfüllen. KUMON
leitet jede Anfrage einer Einzelperson unverzüglich an den Kunden weiter, ohne sie
zu beantworten, es sei denn, es ist dazu berechtigt;(g)

KUMON ist verpflichtet, dem Kunden alle Informationen zur Verfügung zu stellen,
die für den Nachweis der Einhaltung der hierin enthaltenen Verpflichtungen
erforderlich sind, und dem Kunden die Durchführung von Prüfungen auf eigene
Rechnung oder durch beauftragte Prüfer gemäß 0ermöglichen;(h)

KUMON unterstützt den Kunden bei der Einhaltung der Verpflichtungen zur
DurchführungvonDatenschutz-Folgenabschätzungen

(wie

in

Abschnitt

5.2dargelegt).
(i)

KUMON unterstützt den Kunden bei der Umsetzung geeigneter technischer undorganisatorischer Maßnahmen, die darauf abzielen, die Datenschutzprinzipien
wirksam umzusetzen und die erforderlichen Schutzmaßnahmen in die Verarbeitungzu integrieren, um die Einhaltung dieser BCRs zu erleichtern (wie in Abschnitt
5.2.5dargelegt); und,(j)

KUMON verarbeitet personenbezogene Daten im Auftrag des Kunden auf derGrundlage des zwischen ihnen geschlossenen Kundenvertrags, der mit der DSGVO
konform ist und alle darin festgelegten Anforderungen erfüllt.

3.1.2

Unfähigkeit zur vollständigen Erfüllung: Sollte KUMON zu irgendeinem Zeitpunkt während
der Laufzeit des Kundenvertrags nicht in der Lage sein, eine oder alle der in Abschnitt
3.1.1Verpflichtungen vollständig zu erfüllen, einschließlich der Fälle, in denen KUMON

11

Grund zu der Annahme hat, dass bestehende oder künftige für sie geltende Gesetze sie
daran hindern könnten, die vom Kunden erhaltenen Anweisungen oder andere
Verpflichtungen gemäß den BCRs oder dem Kundenvertrag zu erfüllen, wird sie den Kunden
unverzüglich darüber informieren. In diesem Fall ist der Kunde berechtigt, dieDatenübermittlung auszusetzen und/oder den Vertrag mit sofortiger Wirkung zu kündigen.
Darüber hinaus benachrichtigt KUMON unverzüglich die leitende Stelle im EWR und die
Aufsichtsbehörden, die in Bezug auf den Kunden und in Bezug auf KUMON zuständig sind.
3.1.3

Rückgabe oder Vernichtung von personenbezogenen Daten: Bei Beendigung oder Ablauf
des Kundenvertrags verpflichtet sich KUMON, alle verarbeiteten personenbezogenen Datenzurückzugeben oder zu vernichten und Kopien davon gemäß den Anweisungen des Kundenzu löschen und dem Kunden zu bescheinigen, dass dies geschehen ist, es sei denn, dasgeltende Recht schreibt die Speicherung der übertragenen personenbezogenen Daten vor.
In diesem Fall informiert KUMON den Kunden und garantiert, dass es die Vertraulichkeit derübertragenen personenbezogenen Daten gewährleistet und diese nicht aktiv verarbeitet.

3.1.4

Informationen, die der Einzelperson zur Verfügung gestellt werden müssen:
Einzelpersonen haben das Recht auf einen einfachen Zugang zu den BCRs. KUMON
verpflichtet sich, die BCRs auf der unter https://www.kumongroup.com/eng/bcr/
zugänglichen Website zu veröffentlichen, um sicherzustellen, dass die BCRs für die
Einzelperson leicht zugänglich sind.

3.1.5

Rechtsgrundlage für die Verarbeitung personenbezogener Daten: Aus Gründen der Klarheit
ist KUMON nicht verpflichtet, die Rechtsgrundlage für die Verarbeitung personenbezogener
Daten und ggf. besonderer Kategorien personenbezogener Daten im Auftrag des Kunden zu
bestimmen. Es liegt in der alleinigen Verantwortung des Kunden oder der endgültigen
Verantwortliche, die Rechtsgrundlage für die Verarbeitung zu bestimmen, die KUMON im
Auftrag des Kunden durchführt.

3.1.6

Ernennung eines Unterauftragsverarbeiters: KUMON informiert seinen Kunden und holt
dessen vorherige schriftliche Genehmigung ein, unabhängig davon, ob es sich um einespezifische oder allgemeine Genehmigung handelt, bevor ein Unterverarbeiter (ob ein
Drittdatenverarbeiter oder ein anderes Unternehmen der KUMON-Gruppe) mit der
Verarbeitung im Namen von KUMON beauftragt wird. In der Kundenvereinbarung kann eineallgemeine Vorabgenehmigung zu Beginn der Dienstleistung festgelegt werden. In diesem
Fall informiert KUMON den Kunden über die Unterauftragsverarbeiter zum Zeitpunkt des12

Vertragsabschlusses und anschließend über alle beabsichtigten Änderungen bezüglich derHinzufügung oder des Austauschs eines Unterauftragsverarbeiters so rechtzeitig, dass derKunde die Möglichkeit hat, der Änderung zu widersprechen oder die Kundenvereinbarungzu kündigen, bevor Daten an den neuen Unterauftragsverarbeiter übertragen werden. Es
werden nur Unterauftragsverarbeiter ernannt, die ausreichenden Garantien in Bezug auf die
von KUMON in den BCRs eingegangenen Verpflichtungen bieten, insbesondere solche, diein der Lage sind, angemessene technische und organisatorische Maßnahmen einzurichten
und bereitzustellen, die ihre Verarbeitung von personenbezogenen Daten regeln. KUMON
wird dies sicherstellen durch:(a)Sicherstellung, dass der Unterauftragsverarbeiter nur auf Anweisung von KUMON
in Bezug auf die relevanten personenbezogenen Daten handelt;(b)Abschluss einer schriftlichen Vereinbarung, die diesem Unterauftragsverarbeiterdieselben Datenschutzverpflichtungen auferlegt, wie sie in der Kundenvereinbarung
festgelegtsind,insbesondere

einschließlich

derVerpflichtungendesUnterauftragsverarbeiters in Bezug auf die Sicherheit und Vertraulichkeit der
relevanten personenbezogenen Daten, die in Übereinstimmung mit den BCRs undallen anderen in Abschnitt 5.1.4festgelegten Anforderungen verarbeitet werden;
und,
(c)

Festlegung sonstiger Verpflichtungen, die erforderlich sind, um sicherzustellen, dassdie Verpflichtungen des Unterauftragsverarbeiters mit den BCRs in Bezug auf die
Verarbeitung relevanter personenbezogener Daten übereinstimmen (wie z. B. die
Sicherstellung, dass der Unterauftragsverarbeiter verpflichtet ist, die Pflichten von
KUMON gegenüber dem Kunden einzuhalten, einschließlich, aber nicht beschränkt
auf die in den Abschnitten 3.1.1, 3.1.3, 3.1.4und 3.1.9).

3.1.7

Verstoß durch einen Unterauftragsverarbeiter: KUMON ist nicht berechtigt, sich auf einen
Verstoß eines Unterauftragsverarbeiters gegen seine Verpflichtungen zu berufen, um seine
Verbindlichkeiten gegenüber seinem Kunden zu vermeiden.

3.1.8

Einbindung der BCRs in die Kundenvereinbarung: Wenn der Kundenvertrag dieÜbermittlung personenbezogener Daten beinhaltet, die in den Geltungsbereich der BCRs
fallen, wird KUMON seine Verpflichtungen als Auftragsverarbeiter in den BCRs in den
Kundenvertrag aufnehmen, indem es die BCRs als Anhang beifügt oder einen Verweis auf
die BCRs aufnimmt, der auf Wunsch des Kunden elektronisch zugänglich ist.

3.1.9

Benachrichtigung des Verstoßes/Weitergabe des Prüfungsberichts an den Kunden: Im

13

Falle einer Sicherheits- oder Vertraulichkeitsverletzung von personenbezogenen Daten, die
von KUMON für einen Kunden verarbeitet werden, informiert KUMON (i) den Kunden als
Verantwortlicher, falls KUMON ein Auftragsverarbeiter ist, und (ii) den Verantwortlichen
und den Kunden, falls KUMON ein Unterverarbeiter ist, ohne unangemessene Verzögerungnach Bekanntwerden einer Verletzung, unterstützt den Kunden bei der Sicherstellung derEinhaltung seiner diesbezüglichen Verpflichtungen und legt den gemäß Abschnitt
5.4erstellten Prüfbericht dem Kunden auf dessen Anfrage hin offen.
3.1.10 Offenlegungsanforderung:

Falls

KUMON

eine

rechtsverbindliche

Anfrageeiner

Strafverfolgungsbehörde zur Offenlegung von personenbezogenen Daten erhält, die im
Namen eines Kunden verarbeitet wurden, informiert KUMON den Kunden darüber, sofern
dies nicht anderweitig untersagt ist (z. B. nach dem Strafrecht zur Wahrung der
Vertraulichkeit einer Strafverfolgungsuntersuchung). In jedem Fall wird KUMON die
Offenlegungsanfrage in der in Abschnitt 5.5.4Weise behandeln.

Rechte der Kunden
3.2.1

Verantwortung gegenüber dem Auftraggeber: Der Auftraggeber hat das Recht zur
Durchsetzung von(a)diese BCRs und die Kundenvereinbarung gegen jedes Unternehmen der KUMONGruppe, das den Verstoß verursacht hat;(b)diese BCRs und die Kundenvereinbarung gegen die EWR leitende Stelle (KUMON
Group Company mit delegierter Datenschutzverantwortung, wie in Abschnitt 6.2
dargelegt), falls der Verstoß durch eine außerhalb des EWR ansässige KUMON
Group Company verursacht wurde; und/oder,(c)der schriftlichen Vereinbarung, die mit externen Unterauftragsverarbeitern
geschlossen wurde, gegen die leitende Einrichtung des EWR, falls der Verstoß durcheinen externen Unterauftragsverarbeiter mit Sitz außerhalb des EWR verursacht
wurde.

14

4. PERSONENBEZOGENE DATENÜBERTRAGUNGENÜbertragungen von personenbezogenen Daten
4.1.1Übertragungen personenbezogener Daten zur Datenverarbeitung: KUMON beschränktÜbertragungen und Weiterübertragungen von personenbezogenen Daten an einen anderen
Auftragsverarbeiter (unabhängig davon, ob es sich um eine Drittpartei oder ein anderes
Unternehmen der KUMON-Gruppe handelt), es sei denn, es hat:(a)

mit dem Auftragsverarbeiter schriftliche Vereinbarungen getroffen, die alle in
Abschnitt 3.1.6Anforderungen und alle in der DSGVO festgelegten Anforderungenerfüllen, bevor die Übertragung stattfindet; und,(b)anderweitig die notwendigen Maßnahmen ergriffen , um einen angemessenen
Schutz gemäß der DSGVO für die von der Übermittlung betroffenen
personenbezogenen Daten zu gewährleisten.

4.1.2

Datenübertragungen und Weiterübertragungen: Vorbehaltlich der Anweisungen desKundengemäß

Abschnitt

3.1.1(a)beschränkt

KUMON

die

ÜbertragungenundWeiterübertragungen personenbezogener Daten an eine Einrichtung außerhalb des EWR(unabhängig davon, ob es sich um eine Drittpartei oder ein anderes Unternehmen der
KUMON-Gruppe handelt), es sei denn, sie erfolgen in Übereinstimmung mit den Gesetzen
und Regeln der DSGVO in Bezug auf die Übertragung personenbezogener Daten, undinsbesondere:(a)die Übermittlung erfolgt an ein Drittland oder eine internationale Organisation , vonder die zuständige Behörde festgestellt hat, dass sie ein angemessenes
Schutzniveau gewährleistet;(b)die Übermittlung unterliegt angemessenen, nach der DSGVO anerkannten
Garantien, die die durchsetzbaren Rechte und wirksamen Rechtsbehelfe derbetroffenen Personen gewährleisten;(c)die Übermittlung erfüllt eine Bedingung, die als eine nach der DSGVO zulässige
Ausnahmeregelung angegeben ist; oder(d)wenn die Übertragung an ein anderes Unternehmen der KUMON Group außerhalb
des EWR erfolgt, findet die Übertragung in Übereinstimmung mit diesen BCRs statt.

15

5. PRAKTISCHE VERPFLICHTUNGEN
Sicherheit und Vertraulichkeit
5.1.1

Technischeundorganisatorische

Maßnahmen

:

KUMON

stelltsicher,dasspersonenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene
Sicherheit der personenbezogenen Daten gewährleistet, einschließlich des Schutzes vor
unbefugter oder unrechtmäßiger Verarbeitung und vor versehentlichem Verlust, Zerstörung
oder Beschädigung, insbesondere wenn die Verarbeitung die Übertragung von Daten überein Netzwerk beinhaltet, sowie vor allen anderen unrechtmäßigen Formen der Verarbeitung.
KUMON stellt dies durch die Umsetzung geeigneter technischer und organisatorischer
Maßnahmen sicher, die von Zeit zu Zeit aktualisiert werden.
5.1.2

Sicherheitsniveau: Die umzusetzenden technischen und organisatorischen Maßnahmen
müssen ein dem Risiko angemessenes Sicherheitsniveau gewährleisten, wobei der Stand derTechnik (wie dieser Ausdruck nach Artikel 32 DSGVO zu verstehen ist) und die Kosten ihrer
Umsetzung sowie die Art, der Umfang, der Kontext und die Zwecke der Verarbeitung sowie
die unterschiedliche Wahrscheinlichkeit und Schwere des Risikos für die Rechte und
Freiheiten natürlicher Personen zu berücksichtigen sind.

5.1.3

Mitarbeiter-Compliance:

Mitarbeiterdürfenpersonenbezogene

Daten

nur

in

Übereinstimmung mit den BCRs verarbeiten. Jeder Mitarbeiter, der gegen die BCRs verstößt,
kann disziplinarisch belangt werden (bis hin zur Entlassung).
5.1.4

Schriftliche Vereinbarungen mit Auftragsverarbeitern: KUMON stellt sicher, dass jeder
Auftragsverarbeiter (ob eine Drittpartei oder ein anderes Unternehmen der KUMONGruppe), der personenbezogene Daten im Auftrag von KUMON verarbeitet, an eineschriftliche Vereinbarung (wie in Abschnitt 4.1beschrieben) gebunden ist, die alle
erforderlichen Elemente von Artikel 28.3 der DSGVO erfüllt und enthält, wie z. B., dass er
nur auf Anweisung von KUMON handelt und für die Umsetzung angemessener Sicherheitsund Vertraulichkeitsmaßnahmen verantwortlich ist sowie KUMON unverzüglich über eine
Verletzung personenbezogener Daten informiert.

5.1.5

Verletzung von personenbezogenen Daten: Zusätzlich zur Information des Kunden
und/oder des Verantwortliches gemäß Abschnitt 3.1.9werden Verletzungen von16personenbezogenen Daten dokumentiert (einschließlich der Fakten der Verletzung, derAuswirkungen und der ergriffenen Abhilfemaßnahmen). Eine solche Dokumentation wird
der zuständigen Aufsichtsbehörde auf deren Anfrage zur Verfügung gestellt.

Rechenschaftspflicht
5.2.1

KUMON ist für die Einhaltung dieser BCRs verantwortlich sein und muss diese nachweisen
können.

5.2.2

Aufbewahrung von Aufzeichnungen: KUMON stellt sicher, dass klare Aufzeichnungen überalle Datenverarbeitungsaktivitäten geführt werden, einschließlich:(a)Namen und Kontaktangaben von:
(i)

den

Auftragsverarbeiter

oder

die

Auftragsverarbeiter

und

jeder

Verantwortlicher, in dessen Auftrag der Auftragsverarbeiter handelt, und;(ii) ggf. Vertreter des Verantwortliches oder des Auftragsverarbeiters und desDatenschutzbeauftragten;(b)

Kategorien von Personen und personenbezogenen Daten, die von den für die
Datenverarbeitung Verantwortlichen oder in deren Auftrag verarbeitet werden;(c)Beschreibungen der technischen und organisatorischen Sicherheitsmaßnahmen,
die vorhanden sind;(d)gegebenenfalls Übermittlungen personenbezogener Daten in ein Drittland oder an
eineinternationale

Organisation

sowie

die

DokumentationderSicherheitsvorkehrungen bei Übermittlungen in Länder, bei denen die
Aufsichtsbehörde des Landes, aus dem die Übermittlung stammt, nicht entschieden
hat, dass sie ein angemessenes Schutzniveau gewährleisten; und,
(e)
5.2.3

KUMON

aller anderen Informationen, die gemäß der DSGVO aufgezeichnet werden sollten.
führt

ein

schriftliches,auchelektronisches,

Verzeichnis

derVerarbeitungstätigkeiten und stellt es auf Anfrage der Aufsichtsbehörde zur Verfügung.
5.2.4

Datenschutz-Folgenabschätzung: KUMON bestimmt die Notwendigkeit der Durchführung
von Datenschutz-Folgenabschätzungen für Verarbeitungsvorgänge, die wahrscheinlich zu
einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führen. Wenn die
Ergebnisse zeigen, dass die Verarbeitung zu einem hohen Risiko führen würde, wenn
KUMON keine Maßnahmen zur Minderung der Risiken ergreift, konsultiert KUMON vor der17

Verarbeitung die Aufsichtsbehörde.
5.2.5

Datenschutz durch Technikgestaltung und durch datenschutzfreundliche: KUMON setzt
angemessene technische und organisatorische Maßnahmen ein, die darauf ausgerichtet
sind,

die

Datenschutzprinzipien

wirksamumzusetzen

und

die

erforderlichen

Schutzmaßnahmen in die Verarbeitung zu integrieren, um die Einhaltung dieser BCRs zu
erleichtern.
5.2.6

KUMON wird einen globalen Datenschutzbeauftragten ernennen, der mit Unterstützung desTop-Managements die Einhaltung der BCRs in KUMON gemäß dem in 0beschriebenen
Protokoll überwacht und sicherstellt.

Schulungsprogramm
5.3.1

KUMON wird seinen Mitarbeitern gemäß dem in 0beschriebenen Protokoll angemessene
Schulungen zu den BCRs anbieten.

5.3.2

Keinem Mitarbeiter ist es gestattet, (i) personenbezogene Daten in ein Land außerhalb des
EWR zu übermitteln oder (ii) personenbezogene Daten außerhalb des EWR zu verarbeiten,
bevor er eine entsprechende Schulung erhalten hat, um dies zu tun.

Prüfprogramm
5.4.1

KUMON wird seine Einhaltung der BCRs gemäß dem in 0beschriebenen Protokoll prüfen.

Verhältnis zwischen nationalen Gesetzen und den BCRs
5.5.1

Wenn die Gesetze eines Landes, in dem die personenbezogenen Daten verarbeitet werden,
ein höheres Schutzniveau für personenbezogene Daten vorschreiben, haben sie Vorrang vor
den BCRs.

5.5.2

Wenn KUMON Grund zu der Annahme hat, dass die bestehende oder künftige nationale
Gesetzgebung des verarbeitenden Landes es daran hindern könnte, seine Verpflichtungengemäß den BCRs zu erfüllen, oder wesentliche Auswirkungen auf die von den BCRs
gebotenen Garantien haben könnte, informiert KUMON unverzüglich das Globale
Datenschutzteam (siehe ANHANG III), die EWR-Leitstelle, den Kunden, die für den

18

Verantwortlicher zuständige Aufsichtsbehörde und die für den Auftragsverarbeiterzuständige Aufsichtsbehörde, sofern dies nicht von einer Strafverfolgungsbehörde untersagt
wird (einschließlich strafrechtlicher Verpflichtungen zur Wahrung der Vertraulichkeit einer
strafrechtlichen Untersuchung).Der Kunde ist berechtigt, die Datenübermittlung
auszusetzen und/oder den Kundenvertrag zu kündigen.
5.5.3

Im Falle eines Konflikts zwischen nationalem Recht und den Verpflichtungen in den BCRs
entscheidet der Globale Datenschutzbeauftragte (siehe ANHANG III) verantwortlich über diezutreffenden

Maßnahmenundkonsultiert

im

Zweifelsfall

diezuständigenAufsichtsbehörden.
5.5.4

Wenn KUMON Grund zu der Annahme hat, dass gesetzliche Anforderungen, denen es ineinem Drittland unterworfen sein könnte, wahrscheinlich eine wesentliche nachteilige
Auswirkung auf die durch die BCRs gewährten Garantien haben, einschließlich rechtlichverbindlicher Aufforderungen zur Offenlegung personenbezogener Daten durch eine
Strafverfolgungsbehörde oder ein staatliches Sicherheitsorgan, informiert KUMON
unverzüglich das Globale Datenschutzteam (in Übereinstimmung mit dem in ANHANG III
Verfahren), die zuständige Aufsichtsbehörde und den Kunden darüber:(a)die Anfrage (einschließlich der Art der angeforderten Daten);(b)

die anfordernde Stelle; und,(c)

die Rechtsgrundlage für die Anfrage,es sei denn, dies wird von einer Strafverfolgungsbehörde untersagt (einschließlich
strafrechtlicher Verpflichtungen zur Wahrung der Vertraulichkeit einer strafrechtlichen
Untersuchung). In diesem Fall wird sich KUMON nach besten Kräften bemühen, das Recht
auf Befreiung von einer solchen Verpflichtung zu erhalten und der zuständigenAufsichtsbehörde so schnell wie möglich so viele Informationen wie möglich mitzuteilen undseine diesbezüglichen Bemühungen nachzuweisen. Wenn KUMON trotz

besterBemühungen nicht in der Lage ist, die zuständige Aufsichtsbehörde zu benachrichtigen, wird
es einmal pro Jahr allgemeine Informationen über die bei ihm eingehenden Anfragen zur
Verfügung stellen (einschließlich der Anzahl der Offenlegungsanfragen und der Art derangeforderten Daten und des Antragstellers, sofern möglich).
5.5.5

Wenn KUMON verpflichtet ist, personenbezogene Daten an eine Behörde weiterzugeben,
darf dies auf keinen Fall eine massive oder unverhältnismäßige Menge an
personenbezogenen Daten betreffen und nicht in einer Weise wahllos sein, die über das
hinausgeht, was in einer demokratischen Gesellschaft notwendig ist.

19

Beschwerdemechanismen
5.6.1

Personen, deren personenbezogene Daten von KUMON verarbeitet werden, haben das
Recht, bei KUMON Beschwerden einzureichen, indem sie das in Appendix IIbeschriebene
Verfahren zur Bearbeitung von Beschwerden nutzen.

5.6.2

Wenn der Kunde faktisch verschwunden ist, rechtlich nicht mehr existiert oderzahlungsunfähig geworden ist, sofern nicht die gesamten rechtlichen Verpflichtungen desKunden von einem anderen Unternehmen übernommen werden, bearbeitet KUMON
Beschwerden von Einzelpersonen gemäß den in Appendix IIaufgeführten Bedingungen.

Zusammenarbeit mit Behörden
5.7.1

Zusammenarbeit mit der Aufsichtsbehörde: KUMON arbeitet mit der zuständigenAufsichtsbehörde zusammen. Beide unterstützen sich gegenseitig bei der Abwicklung einer
Untersuchung oder Anfrage durch die Aufsichtsbehörde.

5.7.2

Einhaltung der Entscheidung der Aufsichtsbehörde: KUMON akzeptiert, von derzuständigen Aufsichtsbehörde geprüft zu werden, und befolgt die Ratschläge derzuständigen Aufsichtsbehörde zu allen Fragen bezüglich der Auslegung der BCRs. Zur
Vermeidung von Zweifeln soll nichts hierin als Verzicht auf die Rechte von KUMON ausgelegt
werden, eine Entscheidung der zuständigen Aufsichtsbehörde anzufechten.

Aktualisierungen der Regeln
5.8.1

Jede Aktualisierung der BCRs wird gemäß den in 0beschriebenen Verfahren vorgenommen
und den Aufsichtsbehörden und dem Kunden mitgeteilt.

20

6. RECHTE UND HAFTUNG DESDRITTBEGÜNSTIGTEN
Rechte des Drittbegünstigten
6.1.1

Durchsetzung der BCRs: Einzelpersonen haben das Recht, als Drittbegünstigte diejenigen
Bestimmungen der BCRs, die sich speziell an Auftragsverarbeiter richten und Einzelpersonen
Rechte einräumen, direkt gegen KUMON durchzusetzen, insbesondere Abschnitt 3.1.1,
Abschnitt 3.1.2, Abschnitt 3.1.3, Abschnitt 3.1.4, Abschnitt 3.1.6, Abschnitt 3.1.9, Abschnitt
3.1.10, Abschnitt 5.1, Abschnitt 5.2, Abschnitt 5.5, Abschnitt 5.6(und im weiteren Sinne auch
Appendix II), Abschnitt 5.7, Abschnitt 6.1und Abschnitt 6.2. Diese Rechte umfassen
gerichtliche Rechtsbehelfe für jede Verletzung der hierin garantierten Rechte desDrittbegünstigten, das Recht auf Wiedergutmachung und gegebenenfalls das Recht auf
Entschädigung für jeden Schaden (materiellen Schaden, aber auch jede Notlage).

6.1.2

Verantwortliches KUMON Group-Unternehmen: Die leitende Stelle im EWR ist das im EWR
ansässige Unternehmen der KUMON-Gruppe, das für die Beantwortung der Rechte vonDrittbegünstigten verantwortlich ist.

6.1.3

Zuständigkeitsvorschriften: Drittbegünstigte haben das Recht, insbesondere Klage zu
erheben vor:(a)

die zuständigen Gerichte des Mitgliedstaates, dessen Gerichtsbarkeit sich nach
Wahl des Drittbegünstigten entweder nach dem Ort richtet, an dem KUMON oderder Kunde eine Niederlassung hat, oder an dem der Drittbegünstigte seinen
gewöhnlichen Aufenthalt hat; und(b)

die zuständigen Aufsichtsbehörden, deren Zuständigkeit sich insbesondere nach
Wahl des Drittbegünstigten entweder nach dem Ort seines gewöhnlichen
Aufenthalts oder seines Arbeitsplatzes oder nach dem Ort, an dem der behauptete
Verstoß gegen die BCRs stattgefunden hat, richtet.

6.1.4

Rechte von Personen, die Daten des Kunden besitzen: Für den Fall, dass ein Kunde faktischverschwindet, rechtlich nicht mehr existiert oder insolvent geworden ist, es sei denn, diegesamten rechtlichen Verpflichtungen des Kunden werden von einem anderen
Unternehmen übernommen, sind Einzelpersonen, deren personenbezogene Daten von
KUMON im Namen des Kunden verarbeitet werden, berechtigt, die BCRs als Drittbegünstigte

21

gegen KUMON als Auftragsverarbeiter durchzusetzen, insbesondere Abschnitt 3.1.1,
Abschnitt 3.1.4, Abschnitt 5.2, Abschnitt 5.5, Abschnitt 5.6(und im weiteren Sinne auch
Appendix II), Abschnitt 5.7, Abschnitt 6.1, Abschnitt 6.2und Appendix I. Dieses Recht umfasst
sowohl gerichtliche Rechtsbehelfe als auch das Recht auf Entschädigung gemäß den
Abschnitten 6.1.1und 6.1.3oben.

Haftung und Beweislast
6.2.1

Verantwortung der leitenden EWR- Stelle in Bezug auf personenbezogene Daten: Dieleitende Stelle im EWR stimmt zu, dass:(a)cie leitende Stelle im EWR

für die Handlungen anderer außerhalb des EWR

ansässiger Unternehmen der KUMON-Gruppe oder für Verstöße, die durch einen
außerhalb des EWR ansässigen externen Unterauftragsverarbeiter verursacht
werden, verantwortlich ist und sich verpflichtet, die erforderlichen Maßnahmen zu
ergreifen, um Abhilfe zu schaffen, und Schadenersatz für alle materiellen oderimmateriellen Schäden zu leisten, die sich aus der Verletzung der BCRs durch das
Unternehmen der KUMON-Gruppe oder einen externen Unterauftragsverarbeiter
mit Sitz außerhalb des EWR ergeben. Die leitende Stelle im EWR bestätigt, dass sieüber ausreichende Vermögenswerte verfügt, um Schadenersatz für Schäden zu
leisten, die sich aus einem solchen Verstoß gegen die BCRs ergeben;(b)

Die leitende Stelle im EWR erkennt die Zuständigkeit der Gerichte oder anderer
zuständiger Behörden in der EU an und übernimmt die Verantwortung für Verstöße
gegen die BCRs und insbesondere für die sich daraus ergebenden individuellen
Rechte und Rechtsbehelfe, als ob der Verstoß durch die EWR

leitende Stelle indem Mitgliedstaat, in dem es seinen Sitz hat, und nicht durch das außerhalb des
EWR

ansässige

Unternehmen

Unterauftragsverarbeiter

oder

der

KUMON-Gruppe

denaußerhalb

oder

des

den

EWR

externenansässigen

Drittdatenverarbeiter verursacht worden wäre; und(c)

Die leitende Stelle im EWR

ist nicht berechtigt, sich auf eine Verletzung der

Pflichten eines Drittdatenverarbeiters zu berufen, um seine eigene Haftung zu
vermeiden.
6.2.2

Beweislast für personenbezogene EWR-Daten von Drittbegünstigten:(a)

Die leitende Stelle im EWR trägt die Beweislast dafür, dass das außerhalb des EWR
ansässige

Unternehmen

derKUMON-Gruppe

oder

ein

externer

Unterauftragsverarbeiter nicht für einen Verstoß gegen die BCRs haftbar ist, der22dazu geführt hat, dass die Einzelpersonen Schadensersatzansprüche geltend
machen.
(b)

Für den Fall, dass der Kunde nachweisen kann, dass er einen Schaden erlitten hat,
und Tatsachen nachweisen kann, die zeigen, dass der Schaden wahrscheinlich
aufgrund des Verstoßes gegen die BCRs durch ein Unternehmen der KUMONGruppe oder einen externen Unterauftragsverarbeiter mit Sitz außerhalb des EWR
eingetreten ist, obliegt es dem leitenden Unternehmen im EWR zu beweisen, dassdiesesUnternehmen

derKUMON-Gruppe

oderdieserexterneUnterauftragsverarbeiter nicht für den Verstoß verantwortlich ist.
(c)

Wenn die leitende Stelle im EWR nachweisen kann, dass das Unternehmen der
KUMON-Gruppe oder der externe Unterauftragsverarbeiter nicht für das Ereignis
verantwortlich ist, das den Schaden verursacht hat, kann sie sich von jeglicher
Haftung/Verantwortung befreien.

23

7. SCHLUSSBESTIMMUNGEN
Schlussbestimmungen
7.1.1

Die BCRs werden ab dem Datum ihrer Genehmigung durch die zuständige
Aufsichtsbehörde wirksam.

24

APPENDIX I

LISTE DER UNTERNEHMEN DER

KUMON-GRUPPE
Alle Rückfragen zu diesen BCRss können an diese E-Mail-Adresse gerichtet werden:
bcr@kumon.co.jp
RegionJAPAN

Name des Unternehmens

Adresse/Website
KUMON Kyoiku-Kaikan 5-6-6 Nishinakajima

KUMON Institute of Education

Yodogawa-ku Osaka 532-8511 Japan

Co., Ltd.

KUMON Europe & Africa

https://www.kumon.ne.jp/
4th Floor West, Ealing Cross, 85 Uxbridge Road,
Ealing, London, W5 5TH U.K.

LimitedEUROPAUND
AFRIKAKUMON Instituto de

http://www.kumon.co.uk/
Paseo de la Castellana, 131, planta baja y primera
28046 Madrid, SPANIEN

Educación de España S. A.
KUMON Deutschland GmbH

http://www.kumon.es/
Wiesenstraße 21. 40549 Düsseldorf DEUTSCHLAND
http://www.kumon.de/25

APPENDIX IIBETREFFENDE ZUGANG UNDBESCHWERDEVERFAHREN
1

Beschwerde bei KUMON

1.1

Verantwortliches Team: Der Globale Datenschutzbeauftragte, das Globale Datenschutzteam
und die lokalen Datenschutzmanager sind die wichtigsten zuständigen Abteilungen, die für die
Erfüllung das Auskunftsersuchen von Einzelpersonen und die Bearbeitung ihrer Beschwerden
zuständig sind (siehe ANHANG III).

1.2

Kontaktperson: Jede Person kann Beschwerden über die Einhaltung der BCRs vorbringen,indem sie sich an den lokalen Datenschutzmanager des Landes wendet, in dem die Person
ansässig

ist(sieheANHANG

III).

Die

Kontaktdaten

deszuständigenlokalenDatenschutzmanagers werden auf der lokalen Website des Unternehmens der KUMONGruppe in einem bestimmten Land zur Verfügung gestellt.
1.3

Empfangsbestätigung: Der lokale Datenschutzmanager bestätigt der betroffenen Person
unverzüglich den Eingang der Beschwerde und gibt ohne unangemessene Verzögerung, in
jedem Fall aber innerhalb eines Monats nach Eingang der Beschwerde, eine inhaltliche
Antwort.

1.4

Beschwerden über personenbezogene Daten aus verschiedenen Gerichtsbarkeiten : Wennsich die Beschwerde auf personenbezogene Daten bezieht, die ihren Ursprung außerhalb desZuständigkeitsbereichs des lokalen Datenschutzmanagers haben, wird dieser die Beschwerde
der Einzelperson unverzüglich an das globale Datenschutzteam weiterleiten, das alle
Beschwerden im Rahmen der BCRs bearbeitet. Falls erforderlich, kann das Globale
Datenschutzteam mit anderen Mitarbeitern von relevanten Unternehmen der KUMONGruppe, Geschäfts- und Support-Einheiten zusammenarbeiten, um die Beschwerde zu
bearbeiten. Das Global Data Protection Team wird der betroffenen Person den Eingang einer
Beschwerde innerhalb von zehn Arbeitstagen bestätigen und innerhalb eines Monats ab dem
Datum des Eingangs der Beschwerde eine inhaltliche Antwort geben.

1.5

Zeitrahmen für die Beantwortung: Wenn aufgrund der Komplexität der Beschwerde oder der
Anzahl der Anfragen eine inhaltliche Antwort nicht innerhalb der in Abschnitt 1.3bzw.
1.4vorgeschriebenen Frist gegeben werden kann, wird der Beschwerdeführer mit einer

26angemessenen Schätzung (nicht mehr als zwei zusätzliche Monate) für den Zeitrahmen,
innerhalb dessen eine Antwort gegeben werden wird, entsprechend informiert.
1.6

Kommt der lokale Datenschutzmanager oder das globale Datenschutzteam zu dem Schluss,dass die Beschwerde berechtigt oder begründet ist, ergreift es angemessene Maßnahmen inÜbereinstimmung mit der Art der Beschwerde, um die Einhaltung der BCRs sicherzustellen.

1.7

Wenn der lokale Datenschutzmanager oder das globale Datenschutzteam die Beschwerde
zurückweist, weil er sie für unbegründet oder unbegründet hält, wird die Person über dieseFeststellung informiert und in der Antwort des lokalen Datenschutzmanagers oder desglobalen Datenschutzteams an die Person wird darauf hingewiesen, dass sie ihre Beschwerdenoder Ansprüche jederzeit an den globalen Datenschutzbeauftragten richten kann.

1.8

Anfechtung einer Antwort: Wenn der Beschwerdeführer die Antwort des lokalen
Datenschutzmanagers oder des globalen Datenschutzteams oder irgendeinen Aspekt einer
Feststellung bestreitet und die antwortende Partei davon in Kenntnis setzt, wird die
Angelegenheit an den globalen Datenschutzbeauftragten weitergeleitet. Der Globale
Datenschutzbeauftragte prüft den Fall und teilt dem Beschwerdeführer innerhalb eines
Monats (ein Zeitraum, der je nach Komplexität und Anzahl der Anfragen um zwei weitere
Monate verlängert werden kann) nach Eingang der Beschwerde beim zuständigenDatenschutzteam/-manager seine Entscheidung mit, entweder die Feststellungen derantwortenden Partei zu bestätigen oder eine neue Feststellung zu treffen.

1.9

Wird der Beschwerde stattgegeben, veranlasst der Globale Datenschutzbeauftragte allenotwendigen Schritte, die sich daraus ergeben.

1.10 Wenn die betroffene Person der Meinung ist, dass die von KUMON ergriffenen Maßnahmen
nicht ausreichen, um auf ihre Beschwerde einzugehen, kann sie sich mit ihren Beschwerdenoder Ansprüchen immer an die zuständigen Aufsichtsbehörden oder Gerichte derMitgliedstaaten wenden, unabhängig davon, ob sie sich gemäß Abschnitt 6.1.3der BCRs zuerst
direkt an KUMON gewandt hat oder nicht. Die Einzelperson wird in der Antwort, die sie vom
lokalen Datenschutzmanager oder dem globalen Datenschutzteam oder dem globalen
Datenschutzbeauftragten erhält, an dieses Recht erinnert.
1.11 Beschwerden in Bezug auf personenbezogene Daten des Kunden: Wenn eine Beschwerde
beim lokalen Datenschutzmanager in Bezug auf die Sammlung und Verwendung von27personenbezogenen Daten eingereicht wird, bei denen KUMON ein Auftragsverarbeiter ist,
wird KUMON dem Kunden die Details der Beschwerde ohne unangemessene Verzögerung
mitteilen. Wenn der Kunde verlangt, dass KUMON die Beschwerde untersucht, wird KUMON
weiterhin strikt in Übereinstimmung mit den Bedingungen der Kundenvereinbarung handeln.

2

Rechte von Einzelpersonen : Betreffende Zugriffsanfragen

2.1

Die Einzelperson kann von KUMON als Auftragsverarbeiter die Ausübung ihres"Auskunftsrechts" verlangen, wenn die Einzelperson nicht in der Lage ist, einen Anspruch
gegen den Verantwortlicher gemäß Abschnitt 6.1.4der BCRs geltend zu machen.

2.2

Die Anfrage kann schriftlich oder mündlich, auch per E-Mail, an den Local Data Protection
Manager im EWR oder an das Global Data Protection Team gerichtet werden. Der lokale
Datenschutzmanager, der die Anfrage erhält, wird die Details der Anfrage an das Global Data
Protection Team weiterleiten.

2.3

Das Globale Datenschutzteam wird direkt oder über den lokalen Datenschutzmanager, der die
Anfrage erhält, auf eine gültige Anfrage mit Informationen über die aufgrund der Anfrageergriffenen Maßnahmen antworten, und zwar ohne unangemessene Verzögerung und injedem Fall innerhalb eines Monats (oder einer kürzeren Frist, die nach lokalem Recht
vorgeschrieben ist) nach Eingang der Anfrage. Der Zeitrahmen für die Beantwortung kannunter den in Abschnitt 1.5des Anhangs II der BCRs festgelegten Bedingungen um weitere zwei
Monate verlängert werden.

2.4

KUMON ist nicht verpflichtet, einem Antrag auf Zugang zu personenbezogenen Datennachzukommen, wenn KUMON begründete Zweifel an der Identität der Person hat, die den
Antrag stellt, und nicht die Informationen erhält, die vernünftigerweise erforderlich sind, um
die Identität der Person, die den Antrag stellt, zu bestätigen und die Daten zu finden, nach
denen

diese

Personsucht.

KUMON

hält

sich

bei

der

DurchführungdesIdentifizierungsprozesses an die nationalen gesetzlichen Anforderungen.
2.5

Das Global Data Protection Team wird eine erste Bewertung der Anfrage vornehmen, um zu
entscheiden, ob es sich um eine gültige Anfrage handelt und ob eine Bestätigung der Identität
oder weitere Informationen erforderlich sind. Es wird auch die entsprechenden Mitarbeiter
zur Unterstützung bei der Bearbeitung der Anfrage hinzuziehen, sofern dies erforderlich oderangemessen ist.

28

2.6

Das Global Data Protection Team wird sich dann schriftlich mit der Einzelperson in Verbindung
setzen, um den Erhalt der Anfrage zu bestätigen, um eine Bestätigung der Identität oderweitere Informationen zu erhalten, falls erforderlich, oder um die Anfrage abzulehnen, falls
eine der Ausnahmen für den Zugang zum Thema gilt.

2.7

Gültige Anträge können nur dann abgelehnt werden, wenn die Anträge offensichtlich
unbegründet oder überzogen sind.

3

Rechte von Einzelpersonen: Andere Anfragen

3.1

Die betroffene Person kann beantragen, andere Rechte auszuüben, die ihr nach der DSGVO
zustehen. Ein solcher Antrag muss vom lokalen Datenschutzbeauftragten des Landes, aus dem
die personenbezogenen Daten stammen, gegebenenfalls nach Rücksprache mit dem globalen
Datenschutzteam geprüft und bearbeitet werden. Die in Abschnitt 2.3 des Anhangs II der BCRs
festgelegten Reaktionsfristen sollten entsprechend gelten.

3.2

Wenn eine Anfrage über eine Änderung der personenbezogenen Daten einer Person eingeht,
bei der KUMON der Datenverantwortliche für diese personenbezogenen Daten ist, müssen
diese Informationen entsprechend berichtigt oder aktualisiert werden, wenn KUMON
überzeugt ist, dass es eine legitime Grundlage dafür gibt.

3.3

Wenn KUMON auf Anweisung eines Kunden personenbezogene Daten löscht, anonymisiert,
aktualisiert oder korrigiert, benachrichtigt KUMON andere Unternehmen der KUMON-Gruppe
oder Unterauftragsverarbeiter, an die die personenbezogenen Daten weitergegeben wurden,
entsprechend, damit diese ihre Datensätze ebenfalls aktualisieren können.

29

ANHANG III COMPLIANCE-STRUKTUR
1

Global Data Protection Officer (globaler
Datenschutzbeauftragter)

1.1

Der von KUMON ernannte globale Datenschutzbeauftragte ist für die Aufsicht auf
Führungsebene und die Verantwortung für die Gewährleistung der Einhaltung der BCRs sowie
der geltenden Datenschutzgesetze durch KUMON verantwortlich. Er unterliegt keinem
Interessenkonflikt, berichtet direkt an den Vorstand/CEO von KIE und seine Ernennung, Rolleund Leistung erfolgt in Übereinstimmung mit der DSGVO und den Richtlinien desEuropäischen Datenschutzausschusses zu Datenschutzbeauftragten in ihrer jeweils aktuellen
Fassung. Der Globale Datenschutzbeauftragte erhält keine Anweisungen bezüglich derAusübung seiner Aufgaben und wird von den Führungskräften von KIE unterstützt.

1.2

Zu den Hauptaufgaben des Global Data Protection Officer gehören:(a)Sicherstellung, dass die BCRs und andere Regeln in Bezug auf Datenschutz, Ziele undStandards definiert und kommuniziert werden;(b)

Bereitstellung von klarer und sichtbarer Unterstützung und Ressourcen der obersten
Führungsebene für die BCRs sowie für Datenschutzziele und -initiativen im
Allgemeinen;(c)Bewertung,Genehmigung

undPriorisierungvonAbhilfemaßnahmeninÜbereinstimmung mit den Anforderungen der BCRs, strategischen Plänen,Geschäftszielen und regulatorischen Anforderungen;(d)Regelmäßige Bewertung von Datenschutzinitiativen, Errungenschaften und Ressourcen,
um eine kontinuierliche Effektivität und Verbesserung sicherzustellen;(e)Sicherstellung, dass die Geschäftsziele von KUMON mit den BCRs und den damit
verbundenen Datenschutzstrategien, -richtlinien und -praktiken übereinstimmen;(f)

Koordination der Kommunikation zu den BCRs und Datenschutzfragen während desPrüfverfahrens;(g)Bearbeitung von Beschwerden, die an ihn/sie gemäß den BCRs-Verfahren für den
Zugang zu Informationen und Beschwerden eskaliert werden; und,(h)

Er fungiert als Ansprechpartner für den Umgang mit Aufsichtsbehörden (oder delegiert
diese Rolle an lokale Datenschutzmanager in Bezug auf Angelegenheiten, dieausschließlich für eine bestimmte Region gelten).

30

2

Global Data Protection Team

2.1

Das Global Data Protection Team besteht aus von KIE ernannten Mitarbeitern und erfüllt unterder Leitung des Global Data Protection Officers die folgenden Aufgaben:(a)Bereitstellung von Leitlinien für die Verarbeitung personenbezogener Daten inÜbereinstimmung mit den BCRs;(b)

Beantwortung von Anfragen und Einhaltung der BCRs von Mitarbeitern, Kunden undanderen Dritten;(c)Bereitstellung von Beiträgen zu Prüfungen der BCRs, Koordinierung von Antworten auf
Prüfungsfeststellungen und Beantwortung von Anfragen der Aufsichtsbehörden;(d)Überwachung von Änderungen der globalen Datenschutzgesetze und Sicherstellung,dass entsprechende Änderungen an den BCRs und den damit verbundenen Richtlinien
und Praktiken von KUMON vorgenommen werden;(e)

Veranlassung von Mitarbeiterschulungen zu den BCRs und zum Datenschutzrecht;(f)Förderung des Bewusstseins für den Datenschutz in allen Geschäftseinheiten undFunktionsbereichen durch Kommunikation und Initiativen;(g)

Evaluierung von Datenschutzprozessen und -verfahren, um sicherzustellen, dass sie
nachhaltig und effektiv sind;(h)Regelmäßige Berichterstattung über den Status der BCRs an den globalen
Datenschutzbeauftragten und ggf. andere Organisationen;(i)Sicherstellen, dass alle Angelegenheiten in Bezug auf die Einhaltung der BCRs dem
globalen Datenschutzteam und gegebenenfalls dem globalen Datenschutzbeauftragten
zur Kenntnis gebracht werden und dass alle Korrekturmaßnahmen innerhalb eines
angemessenen Zeitraums festgelegt und umgesetzt werden; und(j)Sicherstellen, dass alle Änderungen an den BCRs in Übereinstimmung mit den
Aktualisierungsverfahren (siehe Anhang VI) vorgenommen werden.

3

Lokaler Datenschutzmanager

3.1

Jedes Unternehmen der KUMON Group hat einen lokalen Datenschutzmanager, der für dietägliche Einhaltung des Datenschutzes im Unternehmen verantwortlich ist.

3.2

Wenn der globale Datenschutzbeauftragte es für angemessen hält, kann der lokale
Datenschutzmanager für die regionale Zentrale in der KUMON-Gruppe die Aktivitäten der
lokalen Datenschutzmanager für die Tochtergesellschaften der Zentrale koordinieren.

31Darüber hinaus ist der lokalen Datenschutzmanager, sofern er vom Global Data Protection
Officer dazu beauftragt wurde, die Kontaktstelle für den Umgang mit Aufsichtsbehörden fürausschließlich lokale personenbezogene Datenangelegenheiten.
3.3

Der lokale Datenschutzmanager arbeitet mit dem globalen Datenschutzbeauftragten und dem
globalen Datenschutzteam zusammen, z. B. durch:(a)Bereitstellung von Informationen über aktuelles

geltendes Recht zum Schutz

personenbezogener Daten ;(b)Durchführung von Schulungen zum Schutz persönlicher Daten im Unternehmen; und(c)Bereitstellung von Informationen über den Stand des Schutzes personenbezogener
Daten im Unternehmen .

4Interne Kommunikationsverfahren für Mitarbeiter

4.1

KUMON stellt allen Mitarbeitern eine Hotline zur Verfügung, über die sie alle Anfragen zu den
in den BCRs beschriebenen Themen des Schutzes personenbezogener Daten stellen können.

4.2

Alternativ kann ein Mitarbeiter jede Anfrage im Zusammenhang mit den in den BCRs
dargelegten

Fragenzum

Schutzpersonenbezogener

Daten

an

den

lokalenDatenschutzmanager richten, der diese innerhalb eines Monats nach Eingang der Anfrage
prüft und beantwortet. Wenn die Anfrage Angelegenheiten betrifft, die nicht rein lokal sind,
wird der lokale Datenschutzmanager das globale Datenschutzteam konsultieren.
4.3

Wenn der Mitarbeiter die Antwort des lokalen Datenschutzmanagers oder des globalen
Datenschutzteams oder irgendeinen Aspekt einer Feststellung bestreitet und dies derantwortenden

Parteimitteilt,

wird

die

Angelegenheit

an

den

globalenDatenschutzbeauftragten weitergeleitet. Der Globale Datenschutzbeauftragte prüft den Fallund teilt dem Mitarbeiter innerhalb eines Monats (ein Zeitraum, der je nach Komplexität und
Anzahl der Anfragen um zwei weitere Monate verlängert werden kann) nach Eingang der
Anfrage des zuständigen Datenschutzteams/-managers seine Entscheidung mit, entweder die
Feststellungen der antwortenden Partei zu bestätigen oder eine neue Feststellung zu treffen.
4.4

Beschwerden von Mitarbeitern über den Umgang mit ihren Daten durch die Unternehmen
der KUMON-Gruppe im Rahmen dieser BCRs können wie in Appendix IIder BCRs beschrieben
eingereicht werden.

32

ANHANG IV SCHULUNGSPROTOKOLL
1

Mitarbeiterschulung

1.1

Alle Mitarbeiter, die an der Übermittlung, Verarbeitung und Erfassung personenbezogener
Daten beteiligt sind, müssen (i) im Rahmen ihres Einführungsprogramms und (ii) mindestenseinmal pro Jahr zum Thema Datenschutz, einschließlich einer Zusammenfassung der BCRs und
der geltenden Datenschutzgesetze, geschult werden. Eine solche Schulung erfolgt durch ETraining, Vor-Ort-Seminare oder auf andere Weise, die unter den (jeweils) gegebenen
Umständen als geeignet erachtet wird.

1.2

Das Global Data Protection Team bereitet die Schulungsunterlagen vor und stellt sie dem
lokalen Datenschutzmanager zur Verfügung. Der lokale Datenschutzmanager führt dann die
Schulung für die Mitarbeiter im Unternehmen durch, protokolliert und berichtet dem globalen
Datenschutzteam über die Ergebnisse der Schulung.

1.3

Der Zweck dieser Schulungen ist, dass die Mitarbeiter über die grundlegenden Prinzipien desSchutzes, der Vertraulichkeit und der Sicherheit von personenbezogenen Daten und aller
Informationssysteme, die personenbezogene Daten enthalten, geschult werden.

1.4

KUMON wird solche zusätzlichen Schulungsmöglichkeiten anbieten, die es für angemessen
hält, wie z. B.:-

Spezielles E-Training für leitende Angestellte;-

Schulungen, die für bestimmte Abteilungen konzipiert sind (z. B. HR, IT,
Außenstellen); und-Globale Schulungsmöglichkeiten, wie z. B. E-Training über das globale Intranet undkonzerninterne Konferenzen.

1.5

Die Schulung wird zu den folgenden Themen durchgeführt:-Inhalt des lokalen Gesetzes zum Schutz persönlicher Daten;-

Inhalt der BCRs und etwaige Änderungen daran; und-Wie sich das Gesetz zum Schutz persönlicher Daten auf KUMON auswirkt(einschließlich bewährter Praktiken für die Einhaltung der BCRs).

33

ANHANG V PRÜFVERFAHREN-PROTOKOLL
1

Prüfungsgrundsätze

1.1

KUMON verpflichtet sich, sich regelmäßig Datenschutz-Prüfverfahrens zu unterziehen, dieentweder von internen oder akkreditierten externen Prüfern oder auf spezielle Anfrage desglobalen Datenschutzbeauftragten durchgeführt werden.

2

Struktur der Prüfung

2.1

Der globale Datenschutzbeauftragte veranlasst, dass der interne oder akkreditierte externe
Prüfer von KUMON (das "Prüfungsteam") nach eigenem Ermessen unabhängige Prüfungender Einhaltung aller Aspekte der BCRs durchführt, einschließlich der Methoden, diesicherstellen, dass Korrekturmaßnahmen angenommen und umgesetzt werden.

2.2

Das Prüfungsteam ist für die Durchführung und/oder Beaufsichtigung unabhängiger Audits zur
Einhaltung der BCRs verantwortlich und stellt sicher, dass diese Audits alle Aspekte der BCRs
abdecken. Darüber hinaus ist das Prüfungsteam dafür verantwortlich, sicherzustellen, dassalle Probleme oder Fälle von Nichteinhaltung dem globalen Datenschutzteam und den
jeweiligen lokalen Datenschutzmanagern zur Kenntnis gebracht werden.

2.3

KUMON akzeptiert auf Anfrage des Kunden, seine Datenverarbeitungseinrichtungen zur
Prüfung der Verarbeitungstätigkeiten in Bezug auf diesen Kunden vorzulegen. In diesem Fall
wird die Prüfung von diesem Kunden oder von unabhängigen Prüfern durchgeführt, die überdie erforderlichen Qualifikationen verfügen, von diesem Kunden ausgewählt werden und aneine Vertraulichkeitsverpflichtung gebunden sind, wie in der Kundenvereinbarung festgelegt.
Gegebenenfalls stellt KUMON sicher, dass Unterauftragsverarbeiter ebenfalls die oben
genannten Audit-Anforderungen erfüllen.

3

Prüfverfahren

3.1

Die

Prüfungenmüssen alle Aspekte der BCRs abdecken

und Methoden fürKorrekturmaßnahmen aufzeigen, die als Ergebnis des Audits erforderlich sein könnten.
3.2

Es werden Prüfungen zur Einhaltung der BCRs durchgeführt:

34

(a)

mindestens jährlich in Übereinstimmung mit den Prüfverfahren von KUMON;(b)

auf Anfrage des globalen Datenschutzbeauftragten und/oder des Vorstands von KIE;(c)wie vom Global Data Protection Team als notwendig erachtet (z. B. als Reaktion auf
einen bestimmten Vorfall); und/oder,(d)wenn KUMON als Auftragsverarbeiter fungiert, wie in den Bedingungen derKundenvereinbarung gefordert.

3.3

Das Prüfungsteam führt eine risikobasierte Analyse durch, um den Umfang des Audits zu
bestimmen. Dabei werden relevante Aspekte berücksichtigt, wie z. B.: neue oder spezifische
Risiken für das Geschäft des auditierten Unternehmens; Änderungen an den
Sicherheitssystemen oder -verfahren; der Gegenstand früherer Audits oder Beschwerden; Art
und Ort der personenbezogenen Daten sowie die Art der Verarbeitung.

3.4

Das Prüfverfahrens wird durch Inspektion vor Ort, Befragung des betroffenen Personals,
Fragebögen, Dokumentenprüfung oder andere Methoden durchgeführt, die das Audit-Team
für angemessen hält.

3.5

Die Ergebnisse aller Audits werden dem globalen Datenschutzbeauftragten und dem Vorstandvon KIE mitgeteilt und auch dem jeweiligen Kunden zur Verfügung gestellt.

3.6

Eine Kopie des Ergebnisses der Prüfung wird den Aufsichtsbehörden auf deren Anfrage zur
Verfügung gestellt.

3.7

Jedes Unternehmen der KUMON Group akzeptiert, von den Aufsichtsbehörden geprüft zu
werden, und befolgt die Ratschläge der Aufsichtsbehörden zu allen Fragen im Zusammenhang
mit diesen Regeln.

35

ANHANG VI UPDATE-VERFAHREN
1Änderungen an den BCRs

1.1

KUMON wird alle Änderungen an den BCRs unverzüglich über die zuständigenAufsichtsbehörden an die relevanten Aufsichtsbehörden sowie an alle Unternehmen der
KUMON-Gruppe kommunizieren.

1.2

KUMON wird dem Kunden auch Änderungen an den BCRs mitteilen. Wenn sich dieÄnderungen der BCRs auf die Bedingungen auswirken, unter denen KUMON
personenbezogene Daten als Auftragsverarbeiter verarbeitet, informiert KUMON den
betroffenen Kunden rechtzeitig im Voraus über die vorgeschlagene Änderung, so dass derKunde die Möglichkeit hat, der Änderung zu widersprechen oder den Kundenvertrag mit
KUMON zu kündigen, bevor die Änderung vorgenommen wird.

2

Nicht genehmigungspflichtige Änderungen an den BCRs

2.1

Aktualisierungen der BCRs oder der Liste der KUMON Group Companies sind möglich, ohne
dass eine erneute Autorisierung beantragt werden muss, vorausgesetzt:(a)

Der globale Datenschutzbeauftragte führt eine aktuelle Liste der an die BCRs
gebundenen Unternehmen der KUMON-Gruppe und der von KUMON mit der
Verarbeitung personenbezogener Daten beauftragten Unterauftragsverarbeiter. Diese
Liste wird den Kunden, Einzelpersonen und Aufsichtsbehörden auf deren berechtigte
Anfrage hin zugänglich gemacht.

(b)

Der globale Datenschutzbeauftragte wird die Aufzeichnungen über Änderungen derBCRs, einschließlich des Datums des Inkrafttretens der Änderungen und der Details dervorgenommenen Änderungen, aufbewahren und die erforderlichen Informationen auf
Anfrage an die Einzelperson, systematisch an den Kunden und auf Anfrage an
Aufsichtsbehörden weitergeben.

(c)Eine Übertragung auf ein neues Mitglied erfolgt erst, wenn das neue Mitglied wirksam
an die BCRs gebunden ist und die Einhaltung der BCRs gewährleisten kann.

(d)Alle Änderungen der BCRs oder der Liste der Unternehmen der KUMON-Gruppe
werden den Aufsichtsbehörden, die die Genehmigungen erteilen, einmal jährlich mit
einer kurzen Erläuterung der Gründe für die Aktualisierung mitgeteilt.

(e)Änderungen an den BCRs, die das durch die BCRs gebotene Schutzniveau

36beeinträchtigen oder sich erheblich auf die BCRs auswirken könnten, werden den
betreffenden Aufsichtsbehörden über die zuständige Aufsichtsbehörde unverzüglich
mitgeteilt.

37