CLOUDFLARE ANHANG ZUR AUFTRAGSDATENVERARBEITUNG
Cloudflare, Inc. ("​Cloudflare​") und die diesen Bedingungen zustimmende Partei ("​Kunde​") haben einenEnterprise Subscription Agreement, Self-Serve Subscription Agreement oder eine andere schriftliche oderelektronische Vereinbarung für die von Cloudflare bereitgestellten Dienste (die "​Hauptvereinbarung​")abgeschlossen. Dieser Anhang zur Datenverarbeitung, einschließlich der Anhänge (das ​"DPA")​, ist Teil desHauptvertrages.
Dieses DPA tritt in Kraft und ersetzt und ersetzt alle zuvor geltenden Bedingungen in Bezug auf ihren
Gegenstand (einschließlich aller Datenverarbeitungsänderungen, -vereinbarungen oder -zusätze in Bezug auf dieDienste) ab dem Datum, an dem der Kunde auf "Akzeptieren" geklickt hat oder die Parteien diesem DPA
anderweitig zugestimmt haben ("​Datum des Inkrafttretens des DPA"​).
Wenn Sie dieses DPA im Namen des Kunden akzeptieren, garantieren Sie, dass: (a) Sie die volle rechtliche
Befugnis haben, den Kunden an dieses DPA zu binden; (b) Sie dieses DPA gelesen und verstanden haben;und (c) Sie im Namen des Kunden diesem DPA zustimmen. Wenn Sie nicht die rechtliche Befugnis haben,
den Kunden an dieses DPA zu binden, akzeptieren Sie dieses DPA bitte nicht.
BEGRIFFE DER DATENVERARBEITUNG
Dieses DPA gilt dort und nur in dem Umfang, in dem Cloudflare ​personenbezogene Daten verarbeitet​, die vomoder für den Kunden an Cloudflare übermittelt werden oder die vom oder für den Kunden, der den Dienst nutzt,
gesammelt und verarbeitet werden, wenn diese personenbezogenen Daten den anwendbaren
Datenschutzgesetzen (wie unten definiert) unterliegen.
Die Parteien sind übereingekommen, dieses DPA zu schließen, um sicherzustellen, dass angemessene Garantien
in Bezug auf den Schutz dieser personenbezogenen Daten gemäß den geltenden Datenschutzgesetzen eingeführt
werden. Dementsprechend verpflichtet sich Cloudflare zur Einhaltung der folgenden Bestimmungen in Bezug
auf alle personenbezogen Daten, die vom oder für den Kunden an Cloudflare übermittelt oder von oder für den
Kunden, der den Service nutzt, gesammelt und verarbeitet werden.

1.

Definitionen

1.1 Die folgenden Definitionen werden in diesem DPA verwendet:a)"​Angemessenes Land​" bedeutet ein Land oder Territorium, das nach den Datenschutzgesetzen der
EU und des Vereinigten Königreichs als Land anerkannt ist, das einen angemessenen Schutz für
personenbezogene Daten bietet.

b) "​Verbundenes Unternehmen​" bedeutet in Bezug auf eine Partei jede juristische Person, die diesePartei direkt oder indirekt kontrolliert, von dieser Partei kontrolliert wird oder mit dieser Partei
unter gemeinsamer Kontrolle steht (aber nur so lange, wie eine solche Kontrolle besteht).
c)"​Geltende Datenschutzgesetze​" bezeichnet alle Gesetze und Vorschriften der Gerichtsbarkeiten,in denen ein Unternehmen der Cloudflare Gruppe physisch präsent ist, die auf die Verarbeitung
personenbezogener Daten im Rahmen des Hauptabkommens anwendbar sind, einschließlich derDatenschutzgesetze der EU und des Vereinigten Königreichs sowie des CCPA.

d) "​CCPA​" bedeutet das ​kalifornische Verbraucherschutzgesetz von 2018 (Cal. Civ. Code ​§ ​1798.100- 1798.199, 2018).
e)"​Cloudflare-Gruppe​" bedeutet Cloudflare und alle seine Mitgliedsorganisationen.

f)"​Kundengruppe​" bezeichnet den Kunden und alle seine verbundenen Unternehmen, die im
Europäischen Wirtschaftsraum, in der Schweiz oder im Vereinigten Königreich ansässig sind
und/oder dort geschäftlich tätig sind.

g) "​Datenverarbeiter​" bezeichnet ein Unternehmen, das personenbezogene Daten im Auftrag des fürdie Verarbeitung Verantwortlichen verarbeitet ​und dem ein anderes Unternehmen die
personenbezogenen Daten einer natürlichen Person für einen geschäftlichen Zweck gemäß einem
schriftlichen Vertrag offenlegt, der das Unternehmen, das die Informationen erhält, verpflichtet, diepersonenbezogenen Daten nur zum Zwecke der Erbringung der Dienstleistungen aufzubewahren,
zu verwenden oder offenzulegen.
h) "​Datenschutzgesetze der EU und des Vereinigten Königreichs​" bezeichnet alle Gesetze undVorschriften der Europäischen Union, des Europäischen Wirtschaftsraums, ihrer Mitgliedstaaten,
der Schweiz und des Vereinigten Königreichs, die auf die Verarbeitung personenbezogener Daten
im Rahmen des Hauptabkommens anwendbar sind, einschließlich (wo zutreffend) der DSGVO, desschweizerischen ​Bundesgesetzes über den Datenschutz​ und des britischen Datenschutzgesetzes.
i)"​DSGVO​" bedeutet die Datenschutzgrundverordnung (​Verordnung (EU) 2016/679 desEuropäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei
der Verarbeitung personenbezogener Daten und zum freien Datenverkehr).

j)"​Personenbezogene Daten​" bezeichnet alle Daten, die nach den Datenschutzgesetzen der EU unddes Vereinigten Königreichs als "​personenbezogene Daten" definiert sind, sowie alle Daten, dienach dem CCPA als "​persönliche Informationen​" definiert sind und die Cloudflare in seiner Rolle
als Datenverarbeiter vom Kunden erhält oder anderweitig im Rahmen der Bereitstellung desDienstes für den Kunden durch Cloudflare im Namen des Kunden zugreift, speichert oderverarbeitet.

k) "​Verarbeitung​",
"​für
die
Verarbeitung Verantwortlicher​", "​Betroffener​" und"​Aufsichtsbehörde​" haben die Bedeutungen, die ihnen in den Datenschutzgesetzen der EU und desVereinigten Königreichs zugeschrieben werden.
l)"​Dienste​" bezieht sich auf alle Cloud-basierten Lösungen, die von Cloudflare oder seinen
autorisierten Partnern angeboten, vermarktet oder verkauft werden und die darauf abzielen, dieLeistung, Sicherheit und Verfügbarkeit von Internet-Eigenschaften, -Anwendungen und-Netzwerken zu erhöhen, zusammen mit jeglicher Software, Software Development Kits undApplication Programming Interfaces ("​APIs"​), die in Verbindung mit dem Vorstehenden zur
Verfügung gestellt werden.

m) "​SCCs​" sind die ​hier​ verfügbaren Standardvertragsklauseln, die die Standarddatenschutzklauseln
für die Übermittlung personenbezogener Daten an Auftragsverarbeiter mit Sitz in Drittländern sind,wie in ​Art. 46 des DSGVO, die von der Europäischen Kommission von Zeit zu Zeit geändert,ergänzt oder ersetzt werden.
1.2

2.

Eine Gesellschaft "​kontrolliert​" eine andere, wenn sie: (a) über die Mehrheit der Stimmrechte an ihr
verfügt; (b) Mitglied oder Anteilseigner von ihr ist und das Recht hat, die Mehrheit ihres Vorstands
oder eines gleichwertigen Leitungsorgans abzuberufen; (c) Mitglied oder Anteilseigner von ihr ist undallein oder aufgrund einer Vereinbarung mit anderen Anteilseignern oder Mitgliedern die Mehrheit derStimmrechte an ihr kontrolliert; oder (d) das Recht hat, einen beherrschenden Einfluss auf sie gemäß
ihren Verfassungsdokumenten oder gemäß einem Vertrag auszuüben; und zwei Einheiten werden als
unter "​gemeinsamer Kontrolle" stehend behandelt, wenn eine die andere (direkt oder indirekt)kontrolliert oder beide (direkt oder indirekt) von derselben Gesellschaft Entität kontrolliert werden.
Status der Parteien

2.1

Die Art der personenbezogenen Daten, die im Rahmen dieses DPA verarbeitet werden, sowie
Gegenstand, Dauer, Art und Zweck der Verarbeitung und die Kategorien der betroffenen Personen sindin Anhang 1 beschrieben.

2.2

Jede Partei garantiert in Bezug auf personenbezogene Daten, dass sie die anwendbaren
Datenschutzgesetze einhalten wird (und dass sie dafür sorgen wird, dass alle ihre Mitarbeiter die
geltenden Datenschutzgesetze einhalten und wirtschaftlich vertretbare Anstrengungen unternehmen
wird, um dafür zu sorgen, dass ihre Unterauftragsverarbeiter sie einhalten). Im Verhältnis zwischen den
Parteien trägt der Kunde die alleinige Verantwortung für die Richtigkeit, Qualität und Rechtmäßigkeit
der personenbezogenen Daten und der Mittel, mit denen der Kunde personenbezogene Daten erworben
hat.

2.3

In Bezug auf die Rechte und Pflichten der Parteien im Rahmen dieses DPA in Bezug auf die
personenbezogenen Daten erkennen die Parteien hiermit an und stimmen zu, dass der Kunde der für dieDatenverarbeitung Verantwortliche oder Verarbeiter ist und Cloudflare je nach Konstellation ein
Datenverarbeiter oder Unterauftragsverarbeiter ist, wobei folgendes gilt:(a)Cloudflare erklärt sich damit einverstanden, dass es alle personenbezogenen Daten inÜbereinstimmung mit seinen Verpflichtungen gemäß diesem DPA verarbeitet;(b)

Die Parteien erkennen an, dass der Kunde personenbezogene Daten an Cloudflare nur für die
Durchführung des Dienstes, wie im Hauptvertrag definiert, weitergibt und dass dies einen
gültigen Geschäftszweck für die Verarbeitung solcher Daten darstellt.

2.4

Wenn der Kunde ein Datenverarbeiter ist, garantiert der Kunde gegenüber Cloudflare, dass die
Anweisungen und Handlungen des Kunden in Bezug auf die personenbezogenen Daten, einschließlich
der Ernennung von Cloudflare zu einem anderen Datenverarbeiter und, falls zutreffend, desAbschlusses der SCCs, von dem jeweiligen für die Verarbeitung Verantwortlichen genehmigt wurden.

2.5

Wenn und soweit Cloudflare als Verantwortlicher Daten verarbeitet, die nach den Datenschutzgesetzen
der EU und des Vereinigten Königreichs als "​personenbezogene Daten" definiert sind, wird Cloudflare,
wie in der ​Datenschutzrichtlinie von Cloudflare dargelegt​, die geltenden Datenschutzgesetze der EU
und des Vereinigten Königreichs in Bezug auf diese Verarbeitung einhalten.

2.6

Jede Partei ernennt eine Person innerhalb ihrer Organisation, die befugt ist, von Zeit zu Zeit auf
Anfragen bezüglich der personenbezogenen Daten zu antworten, und jede Partei muss solche Anfragen
unverzüglich bearbeiten.

3.
3.1

Cloudflare-Verpflichtungen
In Bezug auf alle personenbezogenen Daten, die Cloudflare in seiner Rolle als Datenverarbeiter oder
Unterauftragsverarbeiter verarbeitet, garantiert Cloudflare,(a)Personenbezogene Daten nur zur Bereitstellung des Dienstes verarbeiten und folgendes zu
beachten (i) dieses DPA, (ii) die schriftlichen Anweisungen des Kunden, wie durch die
Hauptvereinbarung und dieses DPA dargestellt, und (iii) die Anforderungen der anwendbaren
Datenschutzgesetze;(b)

die personenbezogenen Daten zu keinem anderen Zweck als dem spezifischen Zweck derErbringung der Dienstleistung zu verkaufen, aufzubewahren, zu verwenden oder offenzulegen
und auch nicht für einen anderen kommerziellen Zweck als die Erbringung der Dienstleistungzu nutzen. Die Leistung des Dienstes von Cloudflare kann die Offenlegung personenbezogen
Daten an Unterauftragsverarbeiter beinhalten, wenn dies gemäß Abschnitt 4 dieses DPA
relevant ist.

(c)soweit die personenbezogenen Daten den Datenschutzgesetzen der EU und des Vereinigten
Königreichs unterliegen, den Kunden zu informieren, falls nach Ansicht von Cloudflareirgendwelche Anweisungen des Kunden gemäß Klausel 3.1(a) gegen die DSGVO verstoßen;(d)geeignete technische und organisatorische Maßnahmen ergreifen, um ein Sicherheitsniveau zu
gewährleisten, das den Risiken angemessen ist, die mit der Verarbeitung personenbezogener
Daten verbunden sind, insbesondere den Schutz vor versehentlicher oder unrechtmäßiger
Zerstörung, Verlust, Änderung, unbefugter Weitergabe oder unberechtigtem Zugriff auf
personenbezogene Daten. Zu diesen Maßnahmen gehören unter anderem die in Anhang 2("​Sicherheitsmaßnahmen​") dargelegten Sicherheitsmaßnahmen. ​Der Kunde erkennt an, dassdie Sicherheitsmaßnahmen dem technischen Fortschritt und der Entwicklung unterliegen unddass Cloudflare die Sicherheitsmaßnahmen von Zeit zu Zeit aktualisieren oder modifizierenkann, vorausgesetzt, dass solche Aktualisierungen und Modifikationen die Gesamtsicherheit
des Dienstes nicht verschlechtern oder vermindern​;(e)angemessene Maßnahmen zu ergreifen, um sicherzustellen, dass nur befugtes Personal Zugangzu solchen personenbezogenen Daten hat und dass alle Personen, denen sie den Zugang zu den
personenbezogenen Daten gestattet, zur Vertraulichkeit verpflichtet sind;(f)den Kunden unverzüglich nach Bekanntwerden über eine Sicherheitsverletzung zu
informieren, die zur versehentlichen oder unrechtmäßigen Zerstörung, Verlust, Änderung,
unbefugten Offenlegung oder unberechtigtem Zugriff auf personenbezogene Daten führt, die
von Cloudflare, seinen Unterauftragsverarbeitern oder anderen identifizierten oder nicht
identifizierten Dritten übertragen, gespeichert oder anderweitig verarbeitet werden (eine"​Verletzung des Schutzes personenbezogener Daten​");(g)

dem Kunden unverzüglich eine angemessene Kooperation und Unterstützung in Bezug auf
eine Verletzung des Schutzes personenbezogener Daten und - soweit der Kunde davon
betroffen ist – dem Kunden alle angemessenen Informationen im Besitz von Cloudflare
bezüglich einer solchen Verletzung zukommen zu lassen, ist, einschließlich der folgenden,
soweit bekannt:(i)die möglichen Ursachen und Folgen für die Betroffenen der Verletzung des Schutzes
personenbezogener Daten;(ii)

die Kategorien der betroffenen personenbezogenen Daten;(iii)

eine Zusammenfassung der möglichen Folgen für die betroffenen Personen;(iv)

eine Zusammenfassung der nicht autorisierten Empfänger der personenbezogenen
Daten; und(v)

die von Cloudflare ergriffenen Maßnahmen zur Schadensbegrenzung;(h)

Cloudflare darf ohne die vorherige schriftliche Zustimmung des Kunden keine öffentliche
Bekanntgabe einer Verletzung des Schutzes personenbezogener Daten (eine"​Verstoßmitteilung​") machen, es sei denn, dies ist gesetzlich vorgeschrieben;(i)Soweit Cloudflare in der Lage ist zu überprüfen, ob eine betroffene Person mit dem Kunden in
Verbindung steht, benachrichtigt Cloudflare den Kunden umgehend, wenn Cloudflare voneiner betroffenen Person ein Ersuchen um Auskunft, Berichtigung oder Löschung der
personenbezogen Daten dieser Person erhält oder wenn eine betroffene Person Einwände
gegen die Verarbeitung dieser personenbezogen Daten erhebt oder einen Antrag auf
Datenübertragbarkeit bezüglich dieser personenbezogen Daten stellt (jeweils eine"​Betroffenenanfrage​"). Cloudflare antwortet grundsätzlich nicht auf eine Anfrage eines
Betroffenen ohne die vorherige schriftliche Zustimmung des Kunden, außer um zu bestätigen,dass sich eine solche Anfrage auf den Kunden bezieht. Diesem Vorgehen stimmt der Kunde
hiermit zu.

(j)Soweit Cloudflare in der Lage ist, und in Übereinstimmung mit dem anwendbaren Recht, wir
Cloudflare dem Kunden angemessene Unterstützung bei der Beantwortung eines Antrags einer
betroffenen Person auf Auskunft, Berichtigung, Korrektur oder Löschung der
personenbezogenen Daten dieser Person in einem solchen Fall zu leisten, wenn der Kunde
nicht selbst eine Betroffenenanfrage ohne die Hilfe von Cloudflare bearbeiten kann. Der
Kunde ist dafür verantwortlich, sich zu vergewissern, dass der Antragsteller die betroffene
Person ist, deren Informationen angefordert werden. Cloudflare trägt keine Verantwortung fürInformationen, die dem Kunden im guten Glauben im Vertrauen auf diesen Unterabschnitt zur
Verfügung gestellt wurden. Der Kunde trägt alle Kosten, die Cloudflare im Zusammenhang
mit der Bereitstellung einer solchen Unterstützung entstehen;(k)Außer in dem Umfang, der zur Einhaltung des anwendbaren Rechts erforderlich ist, löscht
Cloudflare nach Beendigung oder Ablauf des Hauptvertrages oder der Beendigung desDienstes alle personenbezogen Daten (einschließlich Kopien davon), die gemäß diesem DPA
verarbeitet wurden;(l)

Unter Berücksichtigung der Art der Verarbeitung und der Cloudflare zur Verfügung stehenden
Informationen wird Cloudflare dem Kunden in Bezug auf die Verpflichtungen von Cloudflare
unter den anwendbaren Datenschutzgesetzen in Bezug auf den Kunden die Unterstützung
leisten, die der Kunde vernünftigerweise verlangt:(i)Datenschutz-Folgenabschätzungen (wie dieser Begriff in der DSGVO definiert ist);

(ii)Benachrichtigungen an die Aufsichtsbehörde gemäß den anwendbaren
Datenschutzgesetzen und/oder Mitteilungen an betroffene Personen durch den Kunden
als Reaktion auf eine Verletzung des Schutzes personenbezogener Daten; und(iii)

die Einhaltung der Verpflichtungen des Kunden gemäß den anwendbaren
Datenschutzgesetzen in Bezug auf die Sicherheit der Verarbeitung;unter der Voraussetzung, dass der Kunde alle Kosten übernimmt, die Cloudflare im
Zusammenhang mit der Bereitstellung dieser Unterstützung entstehen.
4.

Unterauftragsverarbeitung

4.1

Cloudflare wird personenbezogene Daten nur an Unterauftragsverarbeiter weitergeben, um den Dienst
im Namen von Cloudflare zu erbringen. Cloudflare verkauft oder offenbart keine personenbezogenen
Daten an Dritte für kommerzielle Zwecke.

4.2

Der Kunde erteilt eine allgemeine Genehmigung: (a) an Cloudflare, andere Mitglieder der Cloudflare
Gruppe als Unterauftragsverarbeiter zu ernennen, und (b) an Cloudflare und andere Mitglieder der
Cloudflare Gruppe, Drittrechenzentrumsbetreiber und ausgelagerte Marketing-, Geschäfts-, Technikund Kundensupportanbieter als Unterauftragsverarbeiter zur Unterstützung der Leistung des Dienstes zu
ernennen.

4.3

Cloudflare wird eine Liste von Unterauftragsverarbeiter auf der Website Cloudflare.com führen und die
Namen neuer und ersetzender Unterauftragsverarbeiter in die Liste aufnehmen, bevor diese mit derUnterverarbeitung personenbezogener Daten beginnen. Wenn der Kunde einen begründeten Einwand
gegen einen neuen oder Ersatz-Unterauftragsverarbeiter hat, wird er Cloudflare innerhalb von zehn (10)Tagen nach der Benachrichtigung schriftlich über diese Einwände informieren und die Parteien werden
versuchen, die Angelegenheit in gutem Glauben zu lösen. Wenn Cloudflare vernünftigerweise in derLage ist, den Service für den Kunden in Übereinstimmung mit der Hauptvereinbarung ohne den Einsatz
des Unterauftragsverarbeiters bereitzustellen und sich nach eigenem Ermessen dazu entscheidet, hat derKunde keine weiteren Rechte gemäß diesem Abschnitt 4.3 in Bezug auf die vorgeschlagene Nutzungdes Unterauftragsverarbeiters. Wenn Cloudflare nach eigenem Ermessen den Einsatz desUnterauftragsverarbeiters verlangt und nicht in der Lage ist, den Kunden hinsichtlich der Eignung desUnterauftragsverarbeiters oder der Dokumentation und der zwischen Cloudflare und dem
Unterauftragsverarbeiter bestehenden Schutzvorkehrungen innerhalb von neunzig (90) Tagen nach
Mitteilung der Einwände durch den Kunden zufrieden zu stellen, kann der Kunde innerhalb von dreißig(30) Tagen nach Ablauf der oben genannten Frist von neunzig (90) Tagen das betreffende
Auftragsformular und/oder die Insertionsaufträge mit einer Frist von mindestens dreißig (30) Tagenschriftlich kündigen, und zwar ausschließlich in Bezug auf die Dienstleistung(en), auf die sich die
Verarbeitung personenbezogener Daten durch den vorgeschlagenen neuen Unterauftragsverarbeiterbezieht. Wenn der Kunde keinen rechtzeitigen Einspruch gegen einen neuen oder ersetzenden
Unterauftragsverarbeiter gemäß diesem Abschnitt 4.3 einlegt, wird davon ausgegangen, dass der Kunde
dem Unterauftragsverarbeiter zugestimmt und auf sein Einspruchsrecht verzichtet hat. Cloudflare kanneinen neuen oder Ersatz-Unterauftragsverarbeiter verwenden, während das Einspruchsverfahren indiesem Abschnitt 4.3 läuft.

4.4

Cloudflare stellt sicher, dass jeder Unterauftragsverarbeiter, den es mit der Bereitstellung eines Teils
des Dienstes in seinem Namen im Zusammenhang mit diesem DPA beauftragt, dies nur auf derGrundlage eines schriftlichen Vertrags tut, der diesen Unterauftragsverarbeitern Bedingungen auferlegt,
die im Wesentlichen nicht weniger Schutz personenbezogener Daten bieten als die, die Cloudflare indiesem DPA auferlegt werden (die "​Relevanten Bedingungen​"). Cloudflare sorgt für die Erfüllung derRelevanten Bedingungen durch diesen Unterauftragsverarbeiter und haftet gegenüber dem Kunden fürjegliche Verletzung der Relevanten Bedingungen durch diese Person.

5.
5.1

Audit und Aufzeichnungen
Cloudflare stellt dem Kunden in Übereinstimmung mit den anwendbaren Datenschutzgesetzen die
Informationen, die sich im Besitz oder unter der Kontrolle von Cloudflare befinden, zur Verfügung, dieder Kunde vernünftigerweise verlangen kann, um die Einhaltung der Verpflichtungen derDatenverarbeiter nach den anwendbaren Datenschutzgesetzen in Bezug auf die Verarbeitung
personenbezogener Daten durch Cloudflare nachzuweisen.

5.2

Der Kunde kann sein Auditrecht gemäß den anwendbaren Datenschutzgesetzen in Bezug auf
personenbezogene Daten ausüben, indem Cloudflare(a) einen Prüfbericht vorlegt, der nicht älter als achtzehn (18) Monate ist und von einem unabhängigen
externen Prüfer erstellt wurde, der nachweist, dass die technischen und organisatorischen
Maßnahmen von Cloudflare ausreichend sind und einem anerkannten Industrieprüfungsstandard
entsprechen; undb) zusätzliche Informationen, die sich im Besitz oder unter der Kontrolle von Cloudflare befinden, aneine Datenschutzaufsichtsbehörde herausgibt, wenn diese zusätzlichen Informationen im
Zusammenhang mit der von Cloudflare im Rahmen der in diesem DPA geregelten Verarbeitung
personenbezogener Daten anfordert oder benötigt.

6.

Datentransfers aus dem EWR, der Schweiz und dem Vereinigten Königreich

6.1

In Verbindung mit dem Dienst gehen die Parteien davon aus, dass Cloudflare außerhalb desEuropäischen Wirtschaftsraums ("​EWR"​), der Schweiz und des Vereinigten Königreichs bestimmte
personenbezogene Daten verarbeiten kann, die durch die Datenschutzgesetze der EU und desVereinigten Königreichs geschützt sind und bei denen der Kunde oder ein Mitglied der Kundengruppe
ein für die Datenverarbeitung Verantwortlicher oder Datenverarbeiter sein kann.

6.2

Insofern ist Cloudflare ein Empfänger von und verarbeitet personenbezogene Daten, die durch die
Datenschutzgesetze der EU und des Vereinigten Königreichs geschützt sind, in einem Land, das keinangemessenes Schutzniveau für personenbezogene Daten (im Sinne des GDPR) bietet:(a)

Cloudflare erklärt sich bereit, diese ​personenbezogen​en Daten in Übereinstimmung mit den
SCCs zu beachten und zu verarbeiten. ​Cloudflare wird den Verpflichtungen des"Datenimporteurs" in den SCCs nachkommen und der Kunde wird den Verpflichtungen des"Datenexporteurs" nachkommen. Es ​wird davon ausgegangen, dass der Kunde (als"Datenexporteur") die SCCs mit Cloudflare (als "Datenimporteur") abgeschlossen hat.

(b)

Cloudflare verlässt sich im Lichte des Urteils des EuGHs in der Rechtssache C-311/18 nicht
auf das EU-U.S. Privacy Shield Abkommen als Rechtsgrundlage für die Übermittlung
personenbezogener Daten. Solange Cloudflare jedoch sich selbst gegenüber den Privacy Shield
Abkommen EU-USA und Schweiz-USA zertifiziert hat, verarbeitet Cloudfare weiterhin
personenbezogene Daten in Übereinstimmung mit den Privacy Shield Prinzipien. Cloudflare
verpflichtet sich, den Kunden zu benachrichtigen, wenn Cloudflare feststellt, dass es seiner
Verpflichtung nicht mehr nachkommen kann, das gleiche Schutzniveau zu bieten, wie es die
Privacy Shield Prinzipien verlangen.

(c)

Für den Fall, dass der Kunde versucht, eine Bewertung der Angemessenheit der SCCs
durchzuführen, wird Cloudflare, soweit es in der Lage ist, dem Kunden im Rahmen seiner
Möglichkeiten angemessene Unterstützung für die Zwecke einer solchen Bewertung leisten,vorausgesetzt, der Kunde übernimmt alle Kosten, die Cloudflare im Zusammenhang mit derBereitstellung dieser Unterstützung entstehen.

6.3

Soweit Cloudflare einen alternativen Datenexportmechanismus (einschließlich jeder neuen Version desoder Nachfolger des gemäß geltendem europäischen Datenschutzrecht angenommenen Privacy Shields)
für die Übertragung von personenbezogenen Daten, die nicht in diesem DPA beschrieben sind("​AlternativerÜbertragungsmechanismus​"),anwendet,solldieseralternativeÜbermittlungsmechanismus anstelle jedes anwendbaren Übermittlungsmechanismus, der in diesem
DPA beschrieben ist, Anwendung finden (jedoch nur in dem Umfang, in dem dieser alternativeÜbermittlungsmechanismus mit dem Europäischen Datenschutzrecht übereinstimmt und sich auf die
Gebiete erstreckt, in die personenbezogene Daten übermittelt werden), und der Kunde erklärt sichbereit, die anderen und weiteren Dokumente zu erstellen und die anderen und weiteren Maßnahmen zu
ergreifen, die vernünftigerweise erforderlich sind, um diesem alternativen Übermittlungsmechanismus
Rechtskraft zu verleihen.

6.4

Der Kunde nimmt zur Kenntnis und akzeptiert, dass die Bereitstellung des Dienstes im Rahmen desHauptabkommens die Verarbeitung personenbezogener Daten durch Unterauftragsverarbeiter in
Ländern außerhalb des EWR erfordern kann.

6.5

6.6

7.
7.1

Falls Cloudflare bei der Durchführung dieses DPA personenbezogene Daten an einen
Unterauftragsverarbeiter außerhalb des EWR, der Schweiz oder des Vereinigten Königreichs überträgt(unbeschadet der Verpflichtungen des Datenexporteurs gemäß den SCCs, muss Cloudflare vor einersolchen Übertragung sicherstellen, dass ein rechtlicher Mechanismus zur Erzielung vonAngemessenheit in Bezug auf diese Verarbeitung vorhanden ist, wie z.B:(a)die Anforderung an Cloudflare, dass Cloudflare zum Vorteil des Kunden SCCs abschließt oderdurch den Unterauftragsverarbeiter abschließen lässt, oder(b)das Vorhandensein anderer speziell genehmigter Schutzvorkehrungen für Datentransfers(gemäß den Datenschutzgesetzen der EU und des Vereinigten Königreichs) und/oder die
Feststellung der Angemessenheit durch die Europäische Kommission.

Die folgenden Bedingungen gelten für die SCC:(a)

Der Kunde kann sein Audit-Recht im Rahmen der SCCs gemäß Abschnitt 5.2 dieses DPA undvorbehaltlich der Anforderungen in Abschnitt 5.2 dieses DPA ausüben; und(b)

Cloudflare kann, wie in den Abschnitten 4 und 6.3 dieses DPA dargelegt und vorbehaltlich derAnforderungen in diesen Abschnitten, Unterauftragsverarbeiter ernennen.

Anträge auf Datenzugriff durch Dritte
In der Rolle von Cloudflare als Datenverarbeiter bzw. -unterauftragsverarbeiter kann es vorkommen,
dass Cloudflare rechtlichen Verfahren Dritter ausgesetzt ist, die Zugang zu oder die Offenlegung vonpersonenbezogen Daten verlangen, die nicht mit den anwendbaren Datenschutzgesetzen vereinbar sind.
Sollte Cloudflare Kenntnis von einem Rechtsverfahren Dritter erlangen, das personenbezogene Daten
anfordert, die Cloudflare im Auftrag des Kunden in seiner Rolle als Datenverarbeiter oder
Unterauftragsverarbeiter (je nach Fall) verarbeitet, wird Cloudflare, soweit ​Cloudflare in der Lage ist zu
erkennen, dass dieses Rechtsverfahren Dritter, das personenbezogene Daten anfordert, einen
Rechtskonflikt auslöst​:(a)den Kunden unverzüglich über die Anfrage zu informieren, es sei denn, eine solche
Benachrichtigung ist gesetzlich verboten;(b)

die Drittpartei darüber informieren, dass sie ein Verarbeiter oder Unterauftragsverarbeiter (jenach Fall) der personenbezogenen Daten ist und nicht befugt ist, die personenbezogen Daten
ohne Zustimmung des Kunden weiterzugeben;(c)

die Drittpartei anweisen, ihre Datenanfrage an den Kunden zu richten; und(d)vor der Erstellung von Daten, soweit erforderlich, Rechtsmittel einzulegen​.

7.2

Wenn Cloudflare Zugang zu ​personenbezogen Daten gewährt oder diese offenlegt als Antwort auf ein
Rechtsverfahren eines Dritten, entweder mit Genehmigung des Kunden oder aufgrund eines
zwingenden gesetzlichen Zwanges, dann wird Cloudflare diese personenbezogenen Daten nur in dem
Maße offenlegen, wie es gesetzlich erforderlich ist und in Übereinstimmung mit dem anwendbaren
gesetzlichen Verfahren.

7.3

Die Abschnitte 7.1 und 7.2 gelten nicht, wenn Cloudflare in gutem Glauben annimmt, dass dieRegierungsanfrage aufgrund eines Notfalls mit der Gefahr des Todes oder einer schweren
Körperverletzung einer Person notwendig ist. In einem solchen Fall wird Cloudflare den Kunden so
schnell wie möglich nach der Offenlegung der Daten über die Datenoffenlegung informieren und dem
Kunden alle Einzelheiten dazu mitteilen, es sei denn, eine solche Offenlegung ist gesetzlich verboten.

8.
8.1

Allgemein
Dieses DPA lässt die Rechte und Pflichten der Parteien nach dem Hauptabkommen unberührt, dasweiterhin vollumfänglich gilt. Im Falle eines Widerspruchs zwischen den Bestimmungen dieses
Datenschutzgesetzes und den Bestimmungen des Hauptabkommens haben die Bestimmungen dieses

Datenschutzgesetzes Vorrang, soweit der Gegenstand die Verarbeitung personenbezogener Daten
betrifft.
8.2

Die Haftung von Cloudflare gemäß oder in Verbindung mit diesem DPA, einschließlich der SCCs,
unterliegt den Haftungsausschlüssen und -beschränkungen, die im Hauptabkommen enthalten sind.

8.3

Dieses DPA überträgt keine Rechte Dritter als Begünstigte, es ist nur zum Nutzen der Vertragsparteien
und ihrer jeweiligen zulässigen Nachfolger und Abtretungsempfänger bestimmt und ist nicht zum
Nutzen anderer Personen und kann nicht von diesen durchgesetzt werden.

8.4

Dieses DPA und jede damit zusammenhängende Handlung unterliegen den Gesetzen des Staates
Kalifornien und sind in Übereinstimmung mit diesen auszulegen, ohne dass Kollisionsnormen zur
Anwendung kommen. Die Parteien stimmen der persönlichen Gerichtsbarkeit und dem Gerichtsstandder Gerichte von San Francisco, Kalifornien, zu.

8.5

Sollte eine Bestimmung dieses DPA aus irgendeinem Grund für ungültig oder nicht durchsetzbar erklärt
werden, bleiben die anderen Bestimmungen des DPA durchsetzbar, und die ungültige oder nicht
durchsetzbare Bestimmung gilt als so abgeändert, dass sie im größtmöglichen gesetzlich zulässigen
Umfang gültig und durchsetzbar ist. Ohne die Allgemeingültigkeit des Vorstehenden einzuschränken,
stimmt der Kunde zu, dass Abschnitt 8.2 (Haftungsbeschränkung) ungeachtet der Nichtdurchsetzbarkeit
einer Bestimmung dieses DPA in Kraft bleibt.

8.6

Dieses DPA ist die endgültige, vollständige und ausschließliche Vereinbarung der Parteien in Bezug auf
den Gegenstand dieser Vereinbarung und ersetzt und vereinigt alle vorherigen Diskussionen undVereinbarungen zwischen den Parteien in Bezug auf diesen Gegenstand. Außer in Bezug auf
Erklärungen, die in betrügerischer Absicht abgegeben wurden, gelten keine anderen Darstellungen oder
Bedingungen für dieses DPA und sind nicht Teil dieses DPA. Änderungen, Ergänzungen oder Verzicht
auf Rechte aus dem DPA sind nur dann wirksam, wenn sie schriftlich erfolgen und von einem
bevollmächtigten Unterzeichner jeder Partei unterzeichnet sind. Dieses DPA kann in Form vonGegenstücken abgefasst werden, von denen jedes als Original gilt, die jedoch alle zusammen ein unddieselbe Vereinbarung bilden. Jede unten unterzeichnende Person versichert, dass sie ordnungsgemäß
bevollmächtigt und rechtsfähig ist, dieses DPA auszuführen und auszuhändigen. Jede Partei garantiert
der anderen, dass die Ausführung und Übergabe dieses DPA sowie die Erfüllung der Verpflichtungendieser Partei hierunter ordnungsgemäß autorisiert wurden und dass dieses DPA für jede dieser Parteieneine gültige und rechtsverbindliche Vereinbarung ist, die gemäß ihren Bedingungen durchsetzbar ist.

Anhang 1
Einzelheiten zu den ​personenbezogen​ Daten und Verarbeitungsaktivitäten(a)Verarbeitete personenbezogene Daten: in Bezug auf Besucher und/oder autorisierte Nutzer der
Domains, Netzwerke, Websites, Anwendungsprogrammierschnittstellen ("​APIs") oder derAnwendung des Kunden, einschließlich des Cloudflare-Produkts Cloudflare for Teams, soweit
zutreffend, Identifikationsdaten, Daten zum Berufsleben, Daten zum Privatleben,
Verbindungsdaten, Lokalisierungsdaten (einschließlich IP-Adressen) und alle anderen Daten,
die der Kunde von solchen Besuchern oder autorisierten Nutzern erhält. Der Kunde, seine
Online-Besucher, autorisierte Benutzer und/oder andere Partner können auch Inhalte auf die
Online-Eigenschaften des Kunden hochladen, die personenbezoge Daten und spezielle
Datenkategorien enthalten können, deren Umfang vom Kunden nach eigenem Ermessen
bestimmt und kontrolliert wird. Zu diesen besonderen Datenkategorien gehören unter anderem
Informationen, die Aufschluss über die rassische oder ethnische Herkunft, politische
Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftsmitgliedschaft unddie Verarbeitung von Daten über die Gesundheit oder das Sexualleben einer Person geben.

(b)Dauer der Verarbeitung: bis zum frühesten der folgenden Zeitpunkte: (i) Ablauf/Kündigung
des Hauptabkommens oder (ii) dem Datum, an dem die Verarbeitung für die Zwecke derErfüllung der Verpflichtungen aus dem Hauptabkommen (soweit anwendbar) durch eine derParteien nicht mehr erforderlich ist;(c)

Verarbeitungsaktivität: Verarbeitung, die erforderlich ist, um die Dienstleistung für den
Kunden gemäß dem Hauptvertrag zu erbringen;(d)

Zweck(e) der Verarbeitung ist/sind: notwendig für die Erbringung der Dienstleistung;(e)Personenbezogene Daten können die folgenden betroffenen Personen betreffen: Natürliche
Personen,
die
(i)
auf
die
Domains,
Netzwerke,
Websites,
Anwendungsprogrammierschnittstellen ("​APIs") und Anwendungen des Kunden zugreifenoder diese nutzen, oder (ii) autorisierte Nutzer des Cloudflare-Produkts Cloudflare for Teamssind, wie z.B. Mitarbeiter, Vertreter oder Auftragnehmer unserer Kunden.

Anhang 2
SicherheitsmaßnahmenA.

Der Datenimporteur/Cloudflare hat ein Sicherheitsprogramm in Übereinstimmung mit den
Industriestandards implementiert und muss dieses aufrechterhalten.

B.

Genauer gesagt umfasst das Sicherheitsprogramm von Datenimporteur/Cloudflare

Zugangskontrolle von Verarbeitungsbereichen
Der Datenimporteur/Cloudflare trifft geeignete Maßnahmen, um zu verhindern, dass Unbefugte Zugang zu den
Datenverarbeitungsanlagen (namentlich Telefonen, Datenbank- und Anwendungsservern und der zugehörigen
Hardware) erhalten, in denen die personenbezogenen Daten verarbeitet oder verwendet werden, einschließlich
●Einrichtung von Sicherheitsbereichen;●

Schutz und Beschränkung der Zugangswege;●

Festlegung von Zugangsberechtigungen für Mitarbeiter und Dritte, einschließlich der entsprechenden
Dokumentation;●jeder Zugriff auf das Datenzentrum, in dem personenbezoge Daten gehostet werden, protokolliert,überwacht und verfolgt wird; und●das Datenzentrum, in dem personenbezoge Daten gehostet werden, durch ein Sicherheitsalarmsystem undandere geeignete Sicherheitsmaßnahmen gesichert ist.

Zugangskontrolle zu Datenverarbeitungssystemen
Datenimporteur/Cloudflare setzt geeignete Maßnahmen ein, um
Datenverarbeitungssysteme von Unbefugten benutzt werden, darunter auchzuverhindern,

dass

ihre

●

Einsatz geeigneter Verschlüsselungstechnologien;●

Identifizierung des Terminals und/oder des Terminalbenutzers gegenüber dem Datenimporteur/Cloudflareund Verarbeitungssystemen;●

automatische vorübergehende Sperrung des Benutzerterminals, wenn es im Leerlauf belassen wird; zum
erneuten Öffnen sind Identifikation und Passwort erforderlich;●automatische temporäre Sperrung der Benutzer-ID bei Eingabe mehrerer fehlerhafter Passwörter, Log-Datei
von Ereignissen, Überwachung von Einbruchsversuchen (Alarme); und●Alle Zugriffe auf Dateninhalte werden protokolliert, überwacht und nachverfolgt.

Zugriffskontrolle zur Nutzung bestimmter Bereiche von Datenverarbeitungssystemen
Der Datenimporteur/Cloudflare verpflichtet sich, dass die zur Benutzung seines Datenverarbeitungssystems
berechtigten Personen nur im Rahmen und Umfang ihrer jeweiligen Zugriffsberechtigung (Autorisierung) auf die
Daten zugreifen können und dass personenbezogene Daten nicht unbefugt gelesen, kopiert oder verändert oderentfernt werden können. Dies soll unter anderem durch verschiedene Maßnahmen erreicht werden:●

Mitarbeiterrichtlinien und Schulungen in Bezug auf die Zugriffsrechte jedes Mitarbeiters auf den
personenbezogenen Daten;●

Zuweisung einzelner Terminals und/oder Terminalbenutzer und Identifikationsmerkmale, die ausschließlich
für bestimmte Funktionen gelten;●Überwachungsmöglichkeiten in Bezug auf Personen, die personenbezogene Daten löschen, hinzufügen oderändern;●Freigabe von Daten nur an autorisierte Personen, einschließlich der Zuweisung von differenzierten
Zugriffsrechten und Rollen;●

die Verwendung geeigneter Verschlüsselungstechnologien; und●Kontrolle von Dateien, kontrollierte und dokumentierte Vernichtung von Daten.

Kontrolle der Verfügbarkeit
Der Datenimporteur/Cloudflare setzt geeignete Maßnahmen ein, um sicherzustellen, dass personenbezogene
Daten vor versehentlicher Zerstörung oder Verlust geschützt werden, einschließlich
●Redundanz der Infrastruktur; und●

Das Backup wird an einem alternativen Standort gespeichert und steht bei einem Ausfall des Primärsystems
zur Wiederherstellung zur Verfügung.

Übertragungssteuerung
Der Datenimporteur/Cloudflare trifft geeignete Maßnahmen, um zu verhindern, dass die Personendaten während
der Übermittlung oder während des Transports der Datenträger von Unbefugten gelesen, kopiert, verändert odergelöscht werden können. Dies wird unter anderem durch verschiedene Maßnahmen erreicht:●

Einsatz angemessener Firewall-, VPN- und Verschlüsselungstechnologien zum Schutz der Gateways undPipelines, durch die die Daten transportiert werden;●

Bestimmte streng vertrauliche Mitarbeiterdaten (z.B. persönlich identifizierbare Informationen wie nationale
ID-Nummern, Kredit- oder Debitkartennummern) werden innerhalb des Systems ebenfalls verschlüsselt;und●Benachrichtigung des Benutzers bei unvollständiger Datenübertragung (Ende-zu-Ende-Verschlüsselung);
und●Alle Datenübertragungen werden, soweit möglich, protokolliert, überwacht und verfolgt.

Eingabesteuerung
Der Datenimporteur/Cloudflare setzt geeignete Maßnahmen zur Eingabekontrolle ein, darunter●eine Autorisierungsrichtlinie für die Eingabe, das Lesen, Ändern und Löschen von Daten;●

Authentifizierung des autorisierten Personals;●

Schutzmaßnahmen für die Dateneingabe in den Speicher sowie für das Lesen, Ändern und Löschen
gespeicherter Daten;●

Verwendung von eindeutigen Authentifizierungsreferenzen oder -codes (Passwörter);●unter der Voraussetzung, dass die Eingänge zu den Datenverarbeitungsanlagen (die Räume, in denen die
Computerhardware und die zugehörige Ausrüstung untergebracht sind) unter Verschluss gehalten werden;●

automatische Abmeldung von Benutzer-IDs, die über einen längeren Zeitraum nicht benutzt wurden; und●ein innerhalb der Organisation
Eingabeberechtigung; und●elektronische Aufzeichnung der Einträge.

desDatenimporteurs/Cloudflare's

erstellter

NachweisderTrennung der Verarbeitung für verschiedene Zwecke
Datenimporteur/Cloudflare setzt geeignete Maßnahmen ein, um sicherzustellen, dass Daten, die für verschiedene
Zwecke gesammelt wurden, getrennt verarbeitet werden können:●

Der Zugriff auf Daten ist durch Anwendungssicherheit für die entsprechenden Benutzer getrennt;●

Module innerhalb des Datenimporters/der Datenbank von Cloudflare trennen, welche Daten für welchen
Zweck verwendet werden, d.h. nach Funktionalität und Funktion;

●

auf der Datenbankebene werden die Daten in verschiedenen normalisierten Tabellen gespeichert, getrennt
pro Modul, pro Controller-Kunde oder Funktion, die sie unterstützen; und●Schnittstellen, Batch-Prozesse und Berichte sind nur für bestimmte Zwecke und Funktionen konzipiert, sodass die für bestimmte Zwecke gesammelten Daten getrennt verarbeitet werden.

Dokumentation
Der Datenimporteur/Cloudflare wird für den Fall von Audits und zur Beweissicherung eine Dokumentation dertechnischen und organisatorischen Maßnahmen führen. Der Datenimporteur/Cloudflare unternimmt
angemessene Schritte, um sicherzustellen, dass die von ihm beschäftigten Personen und andere Personen am
betreffenden Arbeitsplatz die in diesem Anhang 2 dargelegten technischen und organisatorischen Maßnahmen
kennen und befolgen.
Überwachung
Der Datenimporteur/Cloudflare führt geeignete Maßnahmen ein, um die Zugriffsbeschränkungen für die
Systemadministratoren des Datenimporteurs/Cloudflare zu überwachen und sicherzustellen, dass diese gemäß
den erhaltenen Anweisungen handeln. Dies wird unter anderem durch verschiedene Maßnahmen erreicht:●

individuelle Ernennung von Systemadministratoren;●

Ergreifung geeigneter Maßnahmen, um die Zugriffsprotokolle der Systemadministratoren auf die
Infrastruktur zu registrieren und sie mindestens sechs Monate lang sicher, genau und unverändert
aufzubewahren;●Jährliche Prüfungen der Tätigkeit von Systemadministratoren zur Beurteilung der Einhaltung derzugewiesenen Aufgaben, der vom Datenimporteur/Cloudflare erhaltenen Anweisungen und der geltenden
Gesetze;●eine aktualisierte Liste mit den Identifikationsangaben der Systemadministratoren (z.B. Vorname,Nachname, Funktion oder Organisationsbereich) und den zugewiesenen Aufgaben zu führen und sie dem
Datenexporteur auf Anfrage umgehend zur Verfügung zu stellen.