HINWEIS: Dies ist eine maschinell generierte Übersetzung, die lediglich
Informationszwecken dient. Diese maschinell generierte Übersetzung entspricht nicht der
Qualität menschlicher Übersetzungen und kann Fehler enthalten. Diese Übersetzung wird
„WIE SIE IST“ und ohne jegliche Garantie über die Richtigkeit, Vollständigkeit oder
Zuverlässigkeit der Übersetzung zur Verfügung gestellt. Im Falle von Widersprüchen
zwischen der Originalversion dieses Vertrags in englischer Sprache und übersetzten
Versionen hat die englische Version Vorrang.
NACHTRAG ZUR DATENVERARBEITUNG
Revisionsdatum: 18 Dezember 2022

Wenn dieser Nachtrag zur Datenverarbeitung („Nachtrag“) ausdrücklich durch Verweis in den
Hauptvertrag (wie in Abschnitt 2 definiert) zwischen Sophos Limited, einem in England und Wales
unter der Nummer 2096520 eingetragenen Unternehmen mit eingetragenem Sitz im Pentagon,
Abingdon Science Park, Abingdon, Oxfordshire, OX14 3YP, aufgenommen wird, UK („Lieferant“)
und ein Kunde des Lieferanten („Kunde“) ist dieser Nachtrag Teil der Hauptvertrag und zwischen
dem Lieferanten und dem Kunden wirksam.
Die in diesem Nachtrag verwendeten Begriffe in Großbuchstaben sind wie in Abschnitt 2 unten
definiert. Auf Anfrage können wir eine Kopie dieses Nachtrags in einer anderen Sprache zur
Verfügung stellen. Im Falle eines Konflikts ist die englische Fassung des Nachtrags maßgebend.
1.

PRÄAMBEL

1.1.

Die Parteien haben den Hauptvertrag über die Bereitstellung bestimmter Produkte und/oder
Dienstleistungen durch den Lieferanten an den Kunden (gemeinsam „Produkte“) abgeschlossen.

1.2.

Handelt es sich bei dem Hauptvertrag um einen MSP-Vertrag in ähnlicher Form wie bei dem MSPVertrag unter https://www.sophos.com/de-de/legal/sophos-msp-partner-terms-and-conditions(„MSP-Vertrag“), ist der Kunde ein Managed Service Provider („MSP“). Wenn es sich bei dem
Hauptvertrag um einen OEM-Vertrag handelt, nach dem der Kunde berechtigt ist, Produkte vonDrittanbietern in Kombination mit den Produkten des Kunden als Teil einer gebündelten Einheit(„OEM-Vereinbarung“) zu vertreiben, unterlizenzieren oder zur Verfügung zu stellen, ist der Kunde
ein Originalgerätehersteller („OEM“). Andernfalls ist der Kunde ein Endbenutzer („Endbenutzer“).

1.3.

Die Bereitstellung der Produkte kann die Erfassung, Verwendung und sonstige Verarbeitung vonpersonenbezogenen Daten des Verantwortlichen durch den Lieferanten im Namen des Kunden
umfassen. Dieser Nachtrag legt die Verpflichtungen der Parteien in Bezug auf diese Verarbeitung
fest und ergänzt die Bedingungen des Hauptvertrags.

1.4.

Ungeachtet anderer Bestimmungen der Vereinbarung oder dieses Nachtrags vereinbaren die
Parteien, dass die personenbezogenen Daten des Verantwortlichen keine Kontaktinformationen,
Zahlungs- oder Rechnungsinformationen oder andere personenbezogene Daten überGeschäftskontakte und Kundenadministratoren, einschließlich Name, E-Mail-Adresse undKontaktinformationen, enthalten dürfen. Die der Lieferant in eigenem Namen erfasst undverarbeitet, um seine Kundenbeziehungen zu verwalten, mit aktuellen, früheren und potenziellen

SPHS2022Dec

1 aus 22

Kunden und Geschäftspartnern zu kommunizieren und seine Geschäftsbeziehungen anderweitig
zu verwalten („CRM-Daten“).
1.4.1. Der Lieferant ist ein Datenverantwortlicher für CRM-Daten und verarbeitet CRM-Daten
gemäß seinen Verpflichtungen gemäß den geltenden Datenschutzgesetzen und dem
Datenschutzhinweis der Lieferantengruppe.
1.4.2. Außer in Bezug auf Abschnitt 1.4.1gelten die Verpflichtungen des Lieferanten gemäß
diesem Nachtrag nicht für CRM-Daten.
1.5.

Der Hauptvertrag, dieser Nachtrag und die im Hauptvertrag und diesem Nachtrag ausdrücklichgenannten Dokumente stellen die gesamte Vereinbarung zwischen den Parteien in Bezug auf die
vom Lieferanten im Namen des Kunden im Zusammenhang mit dem Hauptvertrag erhobenen,
verarbeiteten und verwendeten personenbezogenen Daten dar, Und ersetzt alle früheren
Vereinbarungen, Vereinbarungen und Vereinbarungen zwischen den Parteien in Bezug auf diesen
Gegenstand.

2.

DEFINITIONEN

2.1.

In diesem Nachtrag haben die folgenden Begriffe folgende Bedeutung:„Geltende Datenschutzgesetze“ bedeutet, soweit anwendbar: (a) die EU-Verordnung 2016/679
des Europäischen Parlaments und des Rates über den Schutz natürlicher Personen bei der
Verarbeitung personenbezogener Daten und den freien Datenverkehr (DatenschutzGrundverordnung oder „DSGVO“); (b) die e-Privacy-Richtlinie (EU-Richtlinie 2002/58/EG) und (c)alle anwendbaren nationalen Datenschutzgesetze, einschließlich der Rechtsvorschriften, die
gemäß (a) oder (b) erlassen wurden; in jedem Fall, die von Zeit zu Zeit geändert oder ersetzt
werden können.
„Begünstigter“ hat die Bedeutung, die ihm im MSP-Abkommen gegeben ist.
„CCPA“ bezeichnet den California Consumer Privacy Act in der durch den California Privacy Rights
Act von 2020 geänderten Fassung, kodifiziert unter Cal. Civ Code Paragraf 1798.100 - 1798.199.100
und die entsprechenden California Consumer Privacy Act Regulations, Cal. Code Regs. Titte. 11,
div. 6, ch. 1, jeweils in der geänderten Fassung;‚Klauseln‘ haben die Bedeutung, die ihr in den SCC zugeschrieben wird.
„Controller“ bedeutet entweder: (A) der Kunde, wenn der Kunde ein Endbenutzer ist; (b) der
Begünstigte, wenn der Kunde ein MSP ist; oder (c) der Endkunde, wenn der Kunde ein OEM ist.
‚Personenbezogene Daten des Verantwortlichen‘ sind die personenbezogenen Daten, die der
Lieferant im Auftrag des Verantwortlichen gemäß den Dienstleistungen verarbeitet.
‚Vom Verantwortlichen an den Auftragsverarbeiter zu übertragende Klauseln‘ die Modul-zweiKlauseln
derSCC.
‚CRM-Daten‘
sind
Kontaktinformationen,
Zahlungsoder
Rechnungsinformationen oder andere personenbezogene Daten über Geschäftskontakte undKundenadministratoren, einschließlich Name, E-Mail-Adresse und Kontaktinformationen; Die der
Lieferant in eigenem Namen erfasst und verarbeitet, um seine Kundenbeziehungen zu verwalten,

SPHS2022Dec

2 aus 22

mit aktuellen, früheren und potenziellen Kunden und Geschäftspartnern zu kommunizieren undanderweitig seine Geschäftsbeziehungen zu verwalten.
„Betroffene Person“ bezeichnet die Person, auf die sich die personenbezogenen Daten von Sophos
beziehen.
‚Ersuchen betroffener Personen‘: Alle Ersuchen betroffener Personen, die Rechte gemäß den
geltenden Datenschutzgesetzen ausüben, einschließlich ihres Rechts auf Auskunft, Löschung und
Berichtigung.
‚EWR‘ den Europäischen Wirtschaftsraum, einschließlich a) der Mitgliedstaaten des Europäischen
Wirtschaftsraums (‚EWR‘) und b) des Vereinigten Königreichs.
„Endkunde“ hat die Bedeutung, die ihm im OEM-Vertrag gegeben wird.
„Europa“ (und „europäisch“) bedeutet a) der Mitgliedstaaten des Europäischen Wirtschaftsraums(‚EWR‘) und b) des Vereinigten Königreichs.
„Hosted Products“ bezeichnet die in Anlage 3 aufgeführten Produkte.
‚ICO‘ das Information Commissioner’s Office mit Sitz im Vereinigten Königreich„Hauptvertrag“ bezeichnet kollektiv die schriftliche(n) Vereinbarung(en), einschließlich und deren
Anlagen, Nachträge und Ergänzungen, gemäß der der Lieferant dem Kunden bestimmte
Dienstleistungen erbringt.
„Personenbezogene Daten“ sind alle Informationen, die eine bestimmte Person oder einenbestimmten Haushalt identifizieren, zur Identifizierung verwendet werden könnten oderanderweitig mit ihr verknüpft oder nach vernünftigem Ermessen mit ihr verknüpft sind, sowie alle
Informationen, die nach den geltenden Datenschutzgesetzen und -Vorschriften als„personenbezogene Daten“, „personenbezogene Daten“ oder gleichwertige Begriffe definiert
sind.
„Verletzung des Schutzes personenbezogener Daten“ eine Sicherheitsverletzung (die nicht durch
den Kunden oder seine Nutzer verursacht wird), die zu einer zufälligen oder unrechtmäßigen
Zerstörung, zum Verlust, zur Veränderung, zur unberechtigten Offenlegung oder zum
unberechtigten Zugriff auf Personenbezogene Daten des Verantwortlichen, die vom Lieferanten
gemäß diesem Nachtrag verarbeitet werden.
„Auftragsverarbeiter“ eine Person oder Stelle, die personenbezogene Daten im Auftrag und nach
Weisung des Verantwortlichen verarbeitet, einschließlich einer Stelle, die gemäß dem CCPA als„Dienstleister“ fungiert.
‚Beschränkte Übermittlung‘ bezeichnet die Übermittlung personenbezogener Daten desVerantwortlichen durch den Kunden an den Lieferanten, wenn eine solche Übermittlung ohne dieanwendbaren Standardvertragsklauseln und gegebenenfalls den britischen Nachtrag nachgeltendem Datenschutzrecht verboten wäre.

SPHS2022Dec

3 aus 22‚Sensible Daten‘ bedeutet ‚besondere Kategorien personenbezogener Daten‘, ‚sensible
personenbezogene Daten‘, ‚sensible Daten‘ und einen gleichwertigen Begriff im Sinne dergeltenden Datenschutzgesetze.
„Dienstleistungen“ bezeichnet alle Produkte und/oder Dienstleistungen, die vom Lieferanten
gemäß der Hauptvertrag bereitgestellt und/oder erbracht werden.
„Standardvertragsklauseln“ oder „SCCs“ bezeichnet die Standardvertragsklauseln für dieÜbermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 desEuropäischen Parlaments und des Rates, die vom Durchführungsbeschluss (EU) 2021/914 derEuropäischen Kommission vom 4. Juni 2021 genehmigt wurde.
„Unterauftragsverarbeiter“ jede natürliche oder juristische Person (ausgenommen Mitarbeiter desLieferanten) oder Stelle, die vom oder im Namen des Lieferanten benannt wurde undpersonenbezogene Daten des Verantwortlichen verarbeitet.
‚Aufsichtsbehörde‘ die zuständige Regulierungsbehörde im Hinblick auf die geltenden
Datenschutzgesetze und -Vorschriften, gegebenenfalls einschließlich einer Aufsichtsbehörde im
Sinne der DSGVO.
‚UK Addendum‘ ist das vom ICO herausgegebene International Data Transfer Addendum zu denStandardvertragsklauseln der EU-Kommission in der von Zeit zu Zeit durch eine zuständige
Aufsichtsbehörde nach den einschlägigen Datenschutzgesetzen des Vereinigten Königreichs
geänderten oder ersetzten Fassung
2.2.

In diesem Nachtrag haben die Kleinbuchstaben „Verantwortlicher“, „Auftragsverarbeiter“,„betroffene Person“, „personenbezogene Daten“ und „Verarbeitung“ (und davon abgeleitete
Begriffe) die im geltenden Datenschutzrecht festgelegten Bedeutungen.

3.

UMFANG

3.1.

Gegenstand und Dauer der Verarbeitung der Personenbezogene Daten des Verantwortlichen
durch den Lieferanten, einschließlich Art und Zweck der Verarbeitung, der Arten der zu
verarbeitenden Daten des Verantwortlichen und der Kategorien der betroffenen Personen, sindwie in beschrieben: (A) dieser Nachtrag, (b) der Hauptvertrag, (c) alle Anweisungen in Anhang 1(Datenverarbeitungsanweisungen) und (d) die Anweisungen des Kunden, die gemäß Abschnitt 4
unten erteilt wurden.

3.2.

Der Kunde ist dafür verantwortlich, (a) sicherzustellen, dass der Verantwortliche über einerechtmäßige Grundlage für die Verarbeitung personenbezogener Daten des Verantwortlichen
verfügt, die vom Lieferanten im Namen des Kunden durchgeführt wird. Und (b) dass der
Verantwortliche alle erforderlichen Einwilligungen von betroffenen Personen eingeholt hat, die fürdie Verarbeitung personenbezogener Daten des Verantwortlichen durch den Kunden und den
Lieferanten erforderlich sind (einschließlich, aber nicht beschränkt auf sensible Daten); Und (c)dass es anderweitig mit den geltenden Datenschutzgesetzen konform ist und dafür sorgt, dassseine Anweisungen an den Lieferanten für die Verarbeitung personenbezogener Daten desVerantwortlichen in jeder Hinsicht mit diesen übereinstimmen.

SPHS2022Dec

4 aus 22

3.3.

Die Parteien stimmen zu, dass der Lieferant ein Auftragsverarbeiter oder Unterauftragsverarbeiterfür personenbezogene Daten des Verantwortlichen ist und der Kunde entweder (a) der
Verantwortliche ist, wenn der Kunde ein Endbenutzer ist, oder (b) ein Auftragsverarbeiter ((füreinen Drittanbieter-Controller), wenn der Kunde ein MSP oder OEM ist.

4.

ANWEISUNGEN DES KUNDEN

4.1.

Der Kunde weist den Lieferanten an, die personenbezogenen Daten des Verantwortlichen so zu
verarbeiten, wie dies nach vernünftigem Ermessen zur Bereitstellung und Erbringung derDienstleistungen erforderlich ist und wie in diesem Dokument und in der Hauptvertrag anderweitig
festgelegt. Der Lieferant verarbeitet die personenbezogenen Daten des Verantwortlichen inÜbereinstimmung mit den dokumentierten Verarbeitungsanweisungen des Kunden, wie in diesem
Dokument beschrieben, außer (a) sofern zwischen dem Lieferanten und dem Kunden anderweitig
schriftlich vereinbart; Oder (b) sofern dies nach dem Gesetz, dem der Lieferant unterliegt,
erforderlich ist (in diesem Fall hat der Lieferant den Kunden vor der Verarbeitung über dieserechtliche Anforderung zu informieren, es sei denn, dieses Gesetz verbietet die Bereitstellungsolcher Informationen).

4.2.

Sollte der Lieferant Kenntnis davon erhalten, dass die Verarbeitungsanweisungen des Kunden
gegen geltende Datenschutzgesetze verstoßen (ohne dem Lieferanten eine Verpflichtung
aufzuerlegen, die Einhaltung des Kunden aktiv zu überwachen), wird er den Kunden unverzüglich
darüber informieren und die Verarbeitung der personenbezogenen Daten des Verantwortlichen
aussetzen.

4.3.

Soweit der California Consumer Privacy Act („CCPA“) auf personenbezogene Daten desVerantwortlichen Anwendung findet, stimmt der Lieferant ohne Einschränkung des Verzichts
darüber hinaus zu, dass:4.3.1. Der Lieferant verwendet, offenlegt oder verarbeitet personenbezogene Daten desVerantwortlichen nicht, außer für den spezifischen Zweck der Erbringung derDienstleistungen, in Übereinstimmung mit den Bedingungen dieses Nachtrags und derHauptvertrag und wie anderweitig gesetzlich vorgeschrieben. Ungeachtet des Vorstehenden
gilt Folgendes:a.

Der Lieferant kann Unterauftragsverarbeiter gemäß den Bedingungen in Abschnitt 7 mit
der Verarbeitung personenbezogener Daten des Verantwortlichen beauftragen;b.

Der Lieferant verarbeitet personenbezogene Daten des Verantwortlichen nicht außerhalb
der direkten Geschäftsbeziehung zwischen dem Kunden und dem Lieferanten oder füreigene kommerzielle Zwecke des Lieferanten. Ungeachtet des Vorstehenden vereinbaren
die Parteien, dass der Lieferant die personenbezogenen Daten des Verantwortlichen,soweit der CCPA anwendbar ist, nur für die im Hauptvertrag und diesem Nachtrag
genannten spezifischen Geschäftszwecke oder für einen anderen, gemäß den CCPABestimmungen ausdrücklich genehmigten Zweck verarbeitet.

c.

Der Lieferant wird personenbezogene Daten des Verantwortlichen nicht „teilen“ oder„verkaufen“ (wie im CCPA definiert);

SPHS2022Dec

5 aus 22

d.

Der Lieferant erfüllt (und wird sicherstellen, dass jeder Unterauftragsverarbeiter seine
Verpflichtungen gemäß dem CCPA erfüllt) und bietet das gleiche Maß an Datenschutz, dasvom CCPA gefordert wird; unde.

Wenn der Lieferant der Ansicht ist, dass er die Bedingungen dieses Nachtrags oder die
geltenden Datenschutzgesetze nicht einhalten kann, Der Lieferant benachrichtigt den
Kunden umgehend und gewährt dem Kunden das Recht, angemessene und angemessene
Maßnahmen zu ergreifen, um sicherzustellen, dass die personenbezogenen Daten desVerantwortlichen in einer Weise verarbeitet werden, die mit den Verpflichtungen desVerantwortlichen gemäß dem CCPA vereinbar ist.

f.

Der Lieferant bewahrt nach Ablauf oder Beendigung der Hauptvertrag keine
personenbezogenen Daten des Verantwortlichen auf, es sei denn, dies wird in Abschnitt
Error! Reference source not found.;

5.

PFLICHTEN DES LIEFERANTEN

5.1.

Alle Mitarbeiter des Lieferanten, die die personenbezogenen Daten des Verantwortlichen
verarbeiten, müssen in Bezug auf ihre Verpflichtungen zum Datenschutz, zur Sicherheit und zur
Vertraulichkeit angemessen geschult werden und unterliegen schriftlichen oder gesetzlichen
Verpflichtungen zur Wahrung der Vertraulichkeit.

5.2.

Der Lieferant wird geeignete technische und organisatorische Maßnahmen ergreifen, um ein dem
Risiko angemessenes Sicherheitsniveau zu gewährleisten und den Verantwortlichen für
personenbezogene Daten vor einer Verletzung des Schutzes personenbezogener Daten zu
schützen. Bei diesen Maßnahmen werden der Stand der Technik, die Kosten der Umsetzung sowie
Art, Umfang, Kontext und Zwecke der Verarbeitung sowie das Risiko einer unterschiedlichen
Wahrscheinlichkeit und Schwere der Rechte und Freiheiten natürlicher Personen, um ein dem
Risiko angemessenes Sicherheitsniveau zu gewährleisten. Die vom Lieferanten ergriffenen
Maßnahmen umfassen insbesondere die in Anlage 2 dieses Nachtrags beschriebenen
Maßnahmen. Der Lieferant ist berechtigt, die in Anlage 2 beschriebenen technischen undorganisatorischen Maßnahmen ohne vorherige schriftliche Zustimmung des Kunden zu ändernoder zu ändern, vorausgesetzt, dass der Lieferant mindestens ein gleichwertiges Schutzniveau
besitzt. Auf Verlangen des Kunden wird der Lieferant eine aktualisierte Beschreibung dertechnischen und organisatorischen Maßnahmen in der in Anlage 2 dargestellten Form zur
Verfügung stellen.

5.3.

Der Lieferant muss die in Abschnitt 7 unten festgelegten Anforderungen für die Beauftragung eines
Unterauftragsverarbeiters mit der Verarbeitung personenbezogener Daten des Verantwortlichen
befolgen.

5.4.

Der Lieferant muss die in Abschnitt 8 unten genannten Anforderungen erfüllen, um den Kunden
bei der Beantwortung von Anfragen Dritter zu unterstützen, einschließlich aller Anfragen vonbetroffenen Personen, ihre Rechte gemäß den geltenden Datenschutzgesetzen auszuüben.

5.5.

Nach der Bestätigung des Eintretens einer Verletzung personenbezogener Daten hat der Lieferant
den Kunden unverzüglich zu informieren und alle Informationen und die Zusammenarbeit

SPHS2022Dec

6 aus 22

rechtzeitig bereitzustellen, die der Kunde in angemessener Weise für den Kunden (und, falls derKunde ein MSP oder OEM ist, sein Verantwortlicher) verlangen kann. Zur Erfüllung derMeldepflichten für Datenschutzverletzungen gemäß (und in Übereinstimmung mit den durch das
geltende Datenschutzgesetz geforderten Fristen). Der Lieferant ergreift weitere Maßnahmen undMaßnahmen, die nach vernünftigem Ermessen erforderlich sind, um die Auswirkungen derVerletzung des Schutzes personenbezogener Daten zu beheben oder zu mindern, und hält den
Kunden über Entwicklungen im Zusammenhang mit der Verletzung des Schutzes
personenbezogener Daten auf dem Laufenden.
5.6.

Der Lieferant stellt dem Kunden (oder, wenn der Kunde ein MSP oder OEM ist, seinem Controller)
angemessene und zeitnahe Unterstützung als Kunde (oder gegebenenfalls als Controller) zur
Verfügung. Kann verlangen, dass eine Datenschutz-Folgenabschätzung oder eine andere nach den
geltenden Datenschutzgesetzen durchzuführende Bewertung durchgeführt wird, underforderlichenfalls die zuständige Datenschutzbehörde konsultieren. Diese Unterstützung ist auf
Kosten des Kunden zu leisten.

5.7.

Der Lieferant löscht die personenbezogenen Daten des für die Verarbeitung Verantwortlichen
innerhalb einer angemessenen Frist nach Beendigung oder Ablauf dieses Nachtrags, sofern nicht
nach geltendem Recht verboten. Auf Anfrage bestätigt der Lieferant dem Kunden, dass die
personenbezogenen Daten des Verantwortlichen gemäß diesem Nachtrag gelöscht wurden. Wenn
der Lieferant nach geltendem Recht verpflichtet ist, personenbezogene Daten desVerantwortlichen zu speichern, ergreift der Lieferant Maßnahmen, um die fortdauernde
Vertraulichkeit und Sicherheit der personenbezogenen Daten des Verantwortlichen so lange zu
gewährleisten, wie sie gepflegt werden.

6.

AUDIT-RECHTE DES KUNDEN

6.1.

Der Kunde erkennt an, dass der Lieferant regelmäßig von unabhängigen externen Prüfern gemäß
den SSAE 18 SOC 2-Standards geprüft wird. Auf begründeten Antrag stellt der Lieferant dem
Kunden eine Kopie seines SOC 2-Auditberichts zur Verfügung, der als vertrauliche Information desLieferanten den Geheimhaltungsbestimmungen des Hauptvertrag unterliegt. Der Lieferant hat
auch auf angemessene schriftliche Prüfungsfragen zu antworten, die ihm vom Kunden gestellt
werden, vorausgesetzt, der Kunde übt dieses Recht nicht mehr als einmal pro Jahr aus.

6.2.

Wenn nach vernünftigem Ermessen des Kunden die gemäß Abschnitt 6.1 bereitgestellten
Materialien nicht ausreichen, um die Einhaltung dieses Nachtrags durch den Lieferanten
nachzuweisen, kann der Kunde dies schriftlich und vorbehaltlich der Bestimmungen in Abschnitt
6.2 (a) - (d) dieses Nachtrags beantragen. Dass der Lieferant dem Kunden alle Informationen zur
Verfügung stellt, die nach vernünftigem Ermessen erforderlich sind, um die Einhaltung der indiesem Nachtrag dargelegten Verpflichtungen (einschließlich der Standardvertragsklauseln,soweit zutreffend) nachzuweisen, und Audits, einschließlich Inspektionen, durch unabhängige
Kunden oder Kunden ermöglicht und dazu beiträgt, Externer Prüfer, der kein Mitbewerber desLieferanten der Verarbeitungsaktivitäten ist, die von diesem Nachtrag abgedeckt werden.

SPHS2022Dec

7 aus 22a.

Vor der Anforderung einer Überprüfung oder eines Audits gemäß dieser Klausel 6.2
berücksichtigt der Kunde die relevanten Zertifizierungen und Audits Dritter desLieferanten, die in Klausel 6.1 beschrieben sind;b.

Der Kunde muss dem Auftragsverarbeiter mindestens 60 Tage im Voraus einen Antrag auf
Durchführung eines Audits oder einer Inspektion gemäß dieser Klausel 6.2 in angemessener
Weise mitteilen. Und ergreift (und stellt sicher, dass jeder ihrer Prüfer) angemessene
Maßnahmen, um Schäden oder Verletzungen zu vermeiden und zu verhindern undStörungen durch solche Prüfungen oder Inspektionen so gering wie möglich zu halten;c.

Ein Audit oder eine Inspektion wird nicht mehr als einmal jährlich durchgeführt, es sei denn,dies wird von einer Aufsichtsbehörde oder geltenden Datenschutzgesetzen verlangt; undd.

Der Kunde trägt die vollen Kosten einer solchen Prüfung und erstattet dem Lieferanten
angemessene Kosten und Ausgaben, die dem Lieferanten im Rahmen dieser Prüfungenentstehen, einschließlich der Zeit, die der Lieferant, seine verbundenen Unternehmen oderseine Unterauftragsverarbeiter für eine solche Prüfung oder Inspektion aufwenden, zu den
zum damaligen Zeitpunkt geltenden Profitarifen des Lieferanten; Die dem Kunden auf
Anfrage zur Verfügung gestellt werden.

7.

SUBPROZESSOREN

7.1.

Der Kunde erklärt sich damit einverstanden, dass zum Zeitpunkt dieses Nachtrags die bestehenden
Unterauftragsverarbeiter des Lieferanten, die unterhttps://www.sophos.com/de-de/legal(„Listeder Unterauftragsverarbeiter“) aufgeführt sind, sowie die verbundenen Unternehmen desLieferanten verwendetwerden. Der Kunde erklärt sich ausdrücklich damit einverstanden, dass der
Lieferant
zusätzliche
Unterauftragsverarbeiter
Dritter(jeweils
einen„neuenUnterauftragsverarbeiter“) beauftragt, vorbehaltlich der Bestimmungen in diesem Abschnitt 7.
Der Lieferant teilt dem Kunden dreißig (30) Tage vor Aufnahme eines neuen
Unterauftragsverarbeiters mit, die durch die Veröffentlichung von Einzelheiten über eine solche
Aufnahme in die Liste der Unterauftragsverarbeiter mitgeteilt werden können.

7.2.

Wenn der Kunde innerhalb von 30 Tagen, nachdem der Lieferant den neuen
Unterauftragsverarbeiter in die Liste der Unterauftragsverarbeiter aufgenommen hat, keineschriftlichen Einwände gegen die Bestellung eines neuen Unterauftragsverarbeiters durch den
Lieferanten erhebt (aus angemessenen Gründen im Zusammenhang mit dem Schutz
personenbezogener Daten des Verantwortlichen), Der Kunde erklärt sich damit einverstanden,
dass er dem neuen Unterauftragsverarbeiter zugestimmt hat. Wenn der Kunde dem Lieferanten
einen solchen schriftlichen Einwand vorlegt, hat der Lieferant den Kunden innerhalb von 30 Tagenschriftlich darüber zu informieren, dass entweder: (A) der Lieferant verwendet den neuen
Unterauftragsverarbeiter nicht zur Verarbeitung der personenbezogenen Daten desVerantwortlichen; oder (b) der Lieferant ist dazu nicht in der Lage oder nicht bereit. Wenn die
Mitteilung in Absatz (b) erfolgt, kann der Kunde innerhalb von 30 Tagen nach der Benachrichtigung
Diese Ergänzung und den Hauptvertrag hinsichtlich der betroffenen Verarbeitung nachschriftlicher Mitteilung an den Lieferanten zu kündigen, und der Lieferant ist nur für Kunden mit
Sitz im Europäischen Wirtschaftsraum und im Vereinigten Königreich verpflichtet, Autorisierung

SPHS2022Dec

8 aus 22einer anteiligen Rückerstattung oder Gutschrift aller vorausbezahlten Gebühren für den Zeitraum,
der nach der Kündigung verbleibt. Wenn jedoch innerhalb dieses Zeitrahmens keine solche
Kündigung erfolgt, gilt der Kunde als dem neuen Subprozessor zugestimmt. Der Lieferant wird
neuen Unterauftragsverarbeitungsunternehmen Datenschutzbestimmungen auferlegen, dieeinen gleichwertigen Schutz für die personenbezogenen Daten des Verantwortlichen gemäß
diesem Nachtrag vorsehen. Der Lieferant haftet weiterhin in vollem Umfang für die Erfüllung der
Pflichten jedes Unterauftragsverarbeiters.
8.

ANFRAGEN DRITTER

8.1.

Der Lieferant informiert den Kunden über alle Datenschutzanfragen, Korrespondenz, Anfragenoder Beschwerden, die er von einer betroffenen Person, einer Aufsichtsbehörde oder einem
anderen Dritten im Zusammenhang mit der Verarbeitung der personenbezogenen Daten desVerantwortlichen erhält, wobei er alle Einzelheiten dieser Daten angibt, aber nicht direkt an die
betroffene Person antwortet. Sofern nicht anderweitig gesetzlich vorgeschrieben.

8.2.

Soweit erforderlich, leistet der Lieferant dem Kunden (oder, wenn der Kunde ein MSP oder OEM
ist, dem Controller) auf Kosten des Kunden angemessene und zeitnahe Unterstützung, damit derKunde (oder, wenn der Kunde ein MSP oder OEM ist, der Controller) auf Folgendes reagieren kann:(a) ein Ersuchen einer betroffenen Person um Ausübung ihrer Rechte nach dem geltenden
Datenschutzrecht (einschließlich gegebenenfalls ihrer Auskunftsrechte, Berichtigungs-,
Einspruchs-, Lösch- und Datenübertragungsrechte), Wie und (b) eine Anfrage, die von einer
Aufsichtsbehörde oder einem anderen Dritten im Zusammenhang mit der Verarbeitung der
personenbezogenen Daten des Verantwortlichen eingegangen ist.

9.

INTERNATIONALE DATENÜBERTRAGUNGEN

9.1.

Bestimmte Produkte können dem Kunden die Wahl ermöglichen, wo er die personenbezogenen
Daten des Verantwortlichen für diese Produkte hosten soll, einschließlich in Rechenzentren, diesich außerhalb der Gerichtsbarkeit befinden, in der die Daten stammen. Zu diesen Standorten
können a) der Europäische Wirtschaftsraum, b) das Vereinigte Königreich, c) die Vereinigten
Staaten von Amerika oder ein anderer im Hauptvertrag angegebener Ort („zentraler Lagerort“)
gehören. Diese Auswahl erfolgt beim Zeitpunkt der Produktinstallation, der Kontoerstellung oderder ersten Verwendung des entsprechenden Produkts. Nach der Auswahl kann der zentrale
Speicherort nicht zu einem späteren Zeitpunkt geändert werden.

9.2.

Der Kunde bestätigt hiermit, unabhängig vom ausgewählten zentralen Speicherort (falls relevant),beschränkte Übertragungen vorbehaltlich der Einhaltung der in dieser Klausel 9 dargelegten
Verpflichtungen und stimmt diesen ausdrücklich zu.

9.3.

In Bezug auf eingeschränkte Übertragungen:9.3.1. Die SCC und der Nachtrag zum Vereinigten Königreich sind ausdrücklich in diesen Nachtrag
aufgenommen worden und sind Teil dieses Nachtrags.
9.3.2. Vorbehaltlich des Abschnitts9.3.3 und des Anhangs 4 dieser Vereinbarung schließen Kunde
und Lieferant hiermit Folgendes ab und stimmen zu: (i) die SCCs, die im Rahmen einer
eingeschränkten Übertragung personenbezogener Daten des Verantwortlichen an den

SPHS2022Dec

9 aus 22

Lieferanten gelten; Und (ii) den Nachtrag zum Vereinigten Königreich, der für die SCCs in
Bezug auf die eingeschränkte Übertragung personenbezogener Daten desVerantwortlichen, die den Datenschutzgesetzen und -Vorschriften des Vereinigten
Königreichs unterliegen, gilt und diese ändert und ergänzt; und
9.3.3. Es gilt Modul 2 der SCCs, vorbehaltlich der Bestimmungen von Anhang 4 dieser
Verordnung.
9.4.

Der Anhang zu den SCC ist gemäß Anhang 4 unten auszufüllen.

10.

DAUER

10.1.

Dieser Nachtrag beginnt mit (a) der Ausführung der Hauptvertrag durch beide Parteien oder (b)dem Datum, an dem die Hauptvertrag wirksam wird, wenn dies später erfolgt und bis zum
früheren der folgenden Fälle andauert: (i) das Auslaufen des Rechts des Kunden auf Nutzung und
Erhalt der Produkte, wie im Hauptvertrag oder in Verbindung mit einem zugehörigen
Lizenzanspruch angegeben, und (ii) die Beendigung des Hauptvertrags.

11.

ANDERE BESTIMMUNGEN

11.1.

Änderungen und Ergänzungen dieses Nachtrags bedürfen der Schriftform. Dies gilt auch fürÄnderungen und Änderungen an dieser Klausel11.1.

11.2.

In keinem Fall übersteigt die Haftung des Lieferanten gegenüber dem Kunden in Verbindung mit
Problemen, die aus oder in Verbindung mit diesem Nachtrag entstehen, die im Hauptvertragfestgelegten Haftungsbeschränkungen des Lieferanten. Die Haftungsbeschränkungen desLieferanten gemäß Hauptvertrag gelten sowohl im Hauptvertrag als auch in diesem Nachtrag
insgesamt, so dass sowohl im Hauptvertrag als auch in diesem Nachtrag eine einzige
Haftungsbeschränkung gilt.

11.3.

Dieser Nachtrag unterliegt (mit Ausnahme der SCCs) den Gesetzen von England und Wales und ist
in Übereinstimmung mit diesen auszulegen, ohne Rücksicht auf Kollisionsnormen. Soweit diesnach geltendem Recht zulässig ist, sind die Gerichte Englands für die Entscheidung vonStreitigkeiten oder Ansprüchen zuständig, die aus, unter oder in Verbindung mit diesem Nachtrag
entstehen können.

11.4.

Im Umfang eines Widerspruchs mit den Bedingungen dieses Nachtrags zur Datenverarbeitung
und mit den Bedingungen der von den Parteien einvereinigten SCC haben die Bedingungen deranwendbaren SCC der SCC (einschließlich seiner Anhänge) Vorrang.

12.

GESETZESWANDEL

12.1.

Wenn eine Änderung dieses Nachtrags aufgrund einer Änderung der geltenden
Datenschutzgesetze erforderlich ist, kann jede Partei die andere Partei schriftlich über dieseÄnderung informieren. Die Vertragsparteien erörtern und verhandeln nach treu und Glaubenüber alle Änderungen, die für diese Änderungen erforderlich sind. Die Parteien werden die
Zustimmung oder Genehmigung zur Änderung dieses Nachtrags gemäß diesem Abschnitt 12 oder
auf andere Weise nicht unangemessen verweigern.

SPHS2022Dec

10 aus 22

12.2.

Falls die Standardvertragsklauseln oder der britische Nachtrag durch eine neue Version („neue
Klauseln“) ersetzt, aktualisiert oder ersetzt werden, stimmt der Kunde zu, dass der Lieferant
diesen Nachtrag nach vorheriger schriftlicher Mitteilung an den Kunden gegebenenfalls
aktualisieren kann, um diese neuen Klauseln aufzunehmen. Als Ergänzung oder Ersatz dervorherigen Standardvertragsklauseln oder des britischen Nachtrags.

SPHS2022Dec

11 aus 22

Anlage 1
BESCHREIBUNG DER VERARBEITUNG
In diesem Anhang 1 wird die Verarbeitung beschrieben, die der Lieferant im Namen des Kunden
durchführt.
(a)Gegenstand, Art und Zweck der Verarbeitungsvorgänge

Die personenbezogenen Daten des Verantwortlichen unterliegen den folgenden grundlegenden
Verarbeitungsaktivitäten (bitte angeben):

Bereitstellung der vom Kunden im Rahmen und gemäß dem Hauptvertragerworbenen Produkte

Bereitstellung von Account-Management- und Customer Technical SupportServices

Der Lieferant stellt Produkte zur Verfügung, die darauf ausgelegt sind, Sicherheitsbedrohungeninnerhalb oder gegen Systeme, Netzwerke, Geräte, Dateien und andere vom Kunden zur
Verfügung gestellten Daten zu erkennen, zu verhindern und zu verwalten oder dem Lieferanten
dabei zu helfen, Sicherheitsbedrohungen zu erkennen, zu verhindern und zu verwalten. Der
Inhalt der in diesen Systemen, Netzwerken, Geräten, Dateien und anderen Daten gespeicherten
Informationen wird ausschließlich vom Kunden und nicht vom Lieferanten bestimmt.
(b)Dauer der Verarbeitungsvorgänge:Die personenbezogenen Daten des Verantwortlichen werden für die folgende Dauer
verarbeitet (bitte angeben):
Die im Hauptvertrag festgelegte Dauer (oder für die Laufzeit des Hauptvertrags,
sofern nicht anders angegeben).
(c)

Betroffene

Die personenbezogenen Daten des Verantwortlichen betreffen die folgenden Kategorien
betroffener Personen (bitte angeben):(d)•Mitarbeiter und Endbenutzer von Kunden•

Andere betroffene Personen, deren personenbezogene Daten im Namen desKunden in Bezug auf die Sophos-Produkte verarbeitet werden

Arten personenbezogener Daten

Die personenbezogenen Daten des Verantwortlichen betreffen die folgenden Kategorien vonDaten (bitte angeben): Benutzernamen und andere Kennungen Netzwerk- und Netzwerkaktivitätsinformationen

SPHS2022Dec

12 aus 22

 Andere Informationen, die möglicherweise in Verbindung mit den Sophos-Produktenübertragen oder verarbeitet werden(e)Besondere Kategorien von Daten (falls zutreffend)

Die personenbezogenen Daten des Verantwortlichen betreffen die folgenden besonderen
Kategorien von Daten (bitte angeben):Sofern nicht anders angegeben, sind die Produkte des Lieferanten nicht für die
Verarbeitung spezieller Datenkategorien ausgelegt.

SPHS2022Dec

13 aus 22

Anlage 2
TECHNISCHE UND ORGANISATORISCHE MAßNAHMENBestimmte dieser Maßnahmen können nur für gehostete Produkte relevant oder anwendbarsein.
1. Physische Zugangskontrolle.
(a) Sophos verfügt über eine Politik der physischen Zugangskontrolle;(b) Alle Mitarbeiter tragen ID-/Zugangskarten;(c) die Eingänge zu den Einrichtungen sind durch Zugangsausweise oder Schlüssel
geschützt;(d) die Einrichtungen sind in (i) öffentliche Zugangsbereiche (wie Empfangsbereiche), (ii)allgemeine Zugangsbereiche für das Personal unterteilt; Und III) Bereiche mit
eingeschränktem Zugang, die nur von Personen mit dringenden geschäftlichen
Erfordernissen betreten werden dürfen;e) Zugangsausweise und Schlüssel kontrollieren den Zugang zu Bereichen mit
eingeschränktem Zugang innerhalb jeder Einrichtung entsprechend den
Zugangsberechtigungen einer Person;(f) Zugangsebenen für Einzelpersonen werden von leitenden Mitarbeitern genehmigt undvierteljährlich überprüft;(g) Empfangs- und/oder Sicherheitspersonal sind an Eingängen zu größeren Standorten
anwesend;(h) Einrichtungen sind durch Alarme geschützt;(i) Besucher werden vorregistriert und Besucherprotokolle werden geführt.
2. System Access Control.
(a) Sophos verfügt über eine logische Zugriffssteuerungsrichtlinie;(b) das Netzwerk wird an jeder Internetverbindung durch Firewalls geschützt;(c) das interne Netzwerk wird je nach Anwendungsempfindlichkeit durch Firewalls
segmentiert;(d) IDS und andere Threat Erkennung und Blocking-Kontrollen werden auf allen Firewalls
ausgeführt;(e) die Filterung des Netzwerkverkehrs basiert auf Regeln, die den Grundsatz des„geringsten Zugangs“ anwenden;(f) Zugangsrechte werden autorisierten Mitarbeitern nur in dem Umfang und für die Dauer
gewährt, die für die Wahrnehmung ihrer Aufgaben erforderlich sind, und werden
vierteljährlich überprüft;(g) der Zugriff auf alle Systeme und Anwendungen wird durch ein sicheres
Anmeldeverfahren kontrolliert;(h) Einzelpersonen verfügen über eindeutige Benutzer-IDs und Passwörter für ihren
eigenen Gebrauch;(i) Passwörter werden auf ihre Sicherheit getestet und Änderungen werden auf schwache
Passwörter durchgesetzt;(j) Bildschirme und Sitzungen werden nach einer Zeit der Inaktivität automatisch gesperrt;

SPHS2022Dec

14 aus 22

(k) standardmäßig werden Produkte zum Schutz vor Malware von Sophos installiert;(l) regelmäßige Schwachstellen-Scans werden an IP-Adressen und Systemen durchgeführt;(m) Systeme werden regelmäßig mit einem Priorisierungssystem gepatcht, um dringende
Patches schnell zu verfolgen.
3. Datenzugriffskontrolle.
(a) Sophos verfügt über eine logische Zugriffssteuerungsrichtlinie;(b) Zugriffsrechte werden autorisierten Mitarbeitern nur in dem Umfang und für die Dauer
gewährt, die für die Ausübung ihrer Aufgaben erforderlich sind, und werden vierteljährlichüberprüft;(c) der Zugriff auf alle Systeme und Anwendungen wird durch ein sicheres
Anmeldeverfahren kontrolliert;(d) Einzelpersonen verfügen über eindeutige Benutzer-IDs und Passwörter für ihren eigenen
Gebrauch;(e) Passwörter werden auf ihre Sicherheit getestet und Änderungen werden in schwache
Passwörter umgesetzt;(f) Bildschirme und Sitzungen werden nach einer Zeit der Inaktivität automatisch gesperrt;(g) Laptops werden mit Verschlüsselungsprodukten von Sophos verschlüsselt;(h) Absender werden angewiesen, vor dem Senden externer E-Mails die
Dateiverschlüsselung in Betracht zu ziehen.
4. Eingangssteuerung.
(a) der Zugriff auf alle Systeme und Anwendungen wird durch ein sicheres
Anmeldeverfahren kontrolliert;(b) Einzelpersonen verfügen über eindeutige Benutzer-IDs und Passwörter für ihren eigenen
Gebrauch;(c) die Sophos Central Produkte verwenden die Verschlüsselung auf Übertragungsebene,
um die Daten während der Übertragung zu schützen;(d) die Kommunikation zwischen der Client-Software und dem Backend-Sophos-Systemerfolgt über HTTPS, um die Daten während der Übertragung zu sichern und eine
vertrauenswürdige Kommunikation über Zertifikate und Servervalidierung herzustellen.
5. Kontrolle Des Subunternehmers.
(a) Unterauftragnehmer mit Zugang zu Daten führen vor der Aufnahme und bei Bedarf
danach eine IT-Sicherheitsüberprüfung durch;(b) Verträge enthalten angemessene Vertraulichkeits- und Datenschutzverpflichtungen, die
auf den Pflichten des Unterauftragnehmers beruhen.
6. Verfügbarkeitskontrolle.
(a) Sophos schützt seine Räumlichkeiten vor Bränden, Überschwemmungen und anderen
Umweltgefahren;b) es stehen Notstromgeneratoren zur Verfügung, um die Stromversorgung im Falle eines
Stromausfalls aufrechtzuerhalten;c) Rechenzentren und Serverräume nutzen Klimaregelung und -Überwachung;
SPHS2022Dec

15 aus 22

(d) das Sophos Central-System verfügt über einen Lastausgleich und ein Failover zwischendrei Standorten, auf denen jeweils zwei Instanzen der Software ausgeführt werden, vondenen jede den vollen Service bieten kann.
7. Segregationskontrolle.
(a) Sophos pflegt und wendet einen Qualitätskontrollprozess für die Bereitstellung neuer
Kundenprodukte an;(b) Test- und Produktionsumgebungen sind getrennt;(c) Neue Software, Systeme und Entwicklungen werden vor der Freigabe in die
Produktionsumgebung getestet.
8. Organisatorische Kontrolle.
(a) Sophos verfügt über einen eigenen IT-Sicherheits-Team;(b) der Risk and Compliance Team verwaltet interne Risikoberichte und -Kontrollen, dieauch die Berichterstattung über die wichtigsten Risiken für das Management umfassen;(c) ein Prozess zur Reaktion auf Vorfälle identifiziert und behebt Risiken und Schwachstellen
zeitnah;(d) jeder neue Mitarbeiter absolviert Schulungen zum Datenschutz und ZUR IT-Sicherheit;(e) die IT-Sicherheitsabteilung führt vierteljährliche Kampagnen zum Sicherheitsbewusstsein
durch.

SPHS2022Dec

16 aus 22

Anlage 3
GEHOSTETE PRODUKTE(a) Sophos Central(b) Sophos Cloud Optix(c) Central Device Encryption(d) Central Endpoint Protection(e) Central Endpoint Intercept X(f) Central Endpoint Intercept X Advanced(g) Central Mobile Advanced(h) Central Mobile Standard(i) Central Phish Threat(j) Central Intercept X Advanced for Server(k) Central Server Protection(l) Central Mobile Security(m) Central Web Gateway Advanced(n) Central Web Gateway Standard(o) Central Email Standard(p) Central Email Advanced(q) Central Wireless Standard(r) jedes andere Sophos Produkt, das über Sophos Central verwaltet und betrieben wird

SPHS2022Dec

17 aus 22

Anlage 4ZUSÄTZLICHE BEDINGUNGEN FÜR EINGESCHRÄNKTE ÜBERTRAGUNGEN
Dieser Anhang enthält zusätzliche Bestimmungen, die gemäß dem Nachtrag für beschränkte
Übertragungen durch oder im Namen des Kunden an den Lieferanten gelten, sowie die
Informationen, die zum Ausfüllen der Anlagen (Anhänge I bis III) zu den anwendbaren SCCs
erforderlich sind.
Durch die Zustimmung zum Nachtrag erklären sich die Parteien mit den SCCs in allen relevanten
Teilen einverstanden und führen sie entsprechend den Bestimmungen von Abschnitt Error!
Reference source not found. des Nachtrags und den Bedingungen dieses Anhangs aus.
1.

Begriffe in Großbuchstaben, die in dieser Anlage oder anderweitig im Nachtrag nicht
definiert sind, haben die Bedeutung, die ihnen gemäß den SCCs und dem UK-Nachtragzugewiesen wird.

2.

Vorbehaltlich der Bedingungen dieses Anhangs findet Modul 2 der SCCs Anwendung, unddie Anlage zu den SCCs wird unter Bezugnahme auf Anlage A dieser Anlage ausgefüllt.

3.

Für die Zwecke der SCCs (Modul 2):

3.1.

Paragraf 7: Die fakultative Andockklausel findet keine Anwendung;

3.2.

Paragraf 9 Buchstabe a: Es gilt Option 2 (Allgemeine Genehmigung), und derDatenimporteur teilt dem Datenexporteur jede beabsichtigte Änderung mindestens 30
Tage im Voraus schriftlich mit.

3.3.

Paragraf 11: Die fakultative Sprache findet keine Anwendung.

3.4.

Für die Zwecke von Paragraf 13 Buchstabe a gilt die zuständige Aufsichtsbehörde wie
folgt:
3.4.1. Ist der Datenexporteur in einem EU-Mitgliedstaat niedergelassen, so ist die
Aufsichtsbehörde die zuständige Aufsichtsbehörde für den Staat, in dem derDatenexporteur niedergelassen ist;
3.4.2. Ist der Datenexporteur im Vereinigten Königreich niedergelassen oder unterliegt
die eingeschränkte Übermittlung den Datenschutzgesetzen und -Verordnungendes Vereinigten Königreichs, ist die zuständige Aufsichtsbehörde das UK
Information Commissioner's Office;3.4.3. Wenn der Datenexporteur in der Schweiz niedergelassen ist oder die
eingeschränkte Übermittlung den Datenschutzgesetzen und -Verordnungen der
Schweiz unterliegt, fungiert der schweizerische Federal Data Protection andInformation Commissioner als zuständige Aufsichtsbehörde und
3.4.4. Wenn der Datenexporteur nicht in einem EU-Mitgliedstaat, im Vereinigten
Königreich oder in der Schweiz niedergelassen ist, Gemäß Artikel 3 Absatz 2 derVerordnung (EU) 2016/679 fällt die Aufsichtsbehörde jedoch in den räumlichen

SPHS2022Dec

18 aus 22

Anwendungsbereich der Verordnung (EU) 2018/849 und ist die zuständige
Aufsichtsbehörde für den Staat, in dem der Vertreter des Datenexporteurs
niedergelassen ist, nämlich der Datenschutzbeauftragte Irlands.
4.

Für die Zwecke von Klausel 17 bzw. Klausel 18 Buchstabe b unterliegen die SCC dem Recht
der Republik Irland. Streitigkeiten werden vor den Gerichten Irlands beigelegt, mit
folgenden Ausnahmen: (i) Wenn der Datenexporteur in der Schweiz niedergelassen ist
oder die eingeschränkte Übermittlung den Datenschutzgesetzen und -Verordnungen der
Schweiz unterliegt, unterliegen die SCC dem Recht der Schweiz, und Streitigkeiten werden
vor den Gerichten der Schweiz beigelegt. Und (ii) Wenn der Datenexporteur im
Vereinigten Königreich niedergelassen ist oder die eingeschränkte Übermittlung den
Datenschutzgesetzen und -Vorschriften des Vereinigten Königreichs unterliegt,
unterliegen die SCC den Gesetzen des Vereinigten Königreichs und Streitigkeiten werden
vor den Gerichten des Vereinigten Königreichs beigelegt.

5.

Zusätzliche Bedingungen für die Schweiz. Wenn der Datenexporteur in der Schweiz
niedergelassen ist oder die eingeschränkte Übermittlung den Datenschutzgesetzen und Verordnungen der Schweiz unterliegt: (i) Bezugnahmen in den SCCs auf ‚Europäische
Union‘, ‚Union‘ oder ‚Mitgliedsstaat‘ bedeuten die Schweiz; (ii) Bezugnahmen auf die
DSGVO enthalten auch Bezugnahmen auf die entsprechenden Bestimmungen desSchweizerischen Bundesgesetzes über den Datenschutz (in der geänderten oderersetzten Fassung); Und (iii) die SCC gelten auch für die Übermittlung von Informationen
in Bezug auf eine identifizierte oder identifizierbare juristische Person, soweit diese
Informationen gemäß den geltenden Datenschutzgesetzen und -Verordnungen der
Schweiz als personenbezogene Daten geschützt sind.

6.

Zusätzliche Bestimmungen für das Vereinigte Königreich. Wenn der Datenexporteur im
Vereinigten Königreich niedergelassen ist oder die eingeschränkte Übermittlung den
Datenschutzgesetzen und -Verordnungen des Vereinigten Königreichs unterliegt:

6.1.

Die SCCs sind gemäß den Bestimmungen von Teil 2 (obligatorische Klauseln) desbritischen Nachtrags zu lesen und gelten als geändert

6.2.

Für die Zwecke von Teil 1 werden die Tabellen 1 und 2 mit den Verweisen auf die Anlagen
A und B (sofern zutreffend) dieser Anlage ausgefüllt; Tabelle 3 wird mit Bezug auf die
Angaben in dieser Anlage ausgefüllt. Und für die Zwecke der Tabelle 4 kann derDatenimporteur den UK Addendum gemäß Abschnitt 19 des UK Addendum beenden.

SPHS2022Dec

19 aus 22

Anlage A zu Anhang 4
ANHANG ZU DEN SCCS (MODUL 2): EINGESCHRÄNKTE ÜBERTRAGUNGEN VON CONTROLLERZU PROZESSORANHANG I
A. LISTE DER PARTEIEN
1. Datenexporteur(e): [Identität und Kontaktdaten des/der Datenimporteur(e) und ggf.
seines/ihres Datenschutzbeauftragten und/oder Vertreters in der Europäischen Union]
Name

Wie dem Lieferanten im Rahmen der Hauptvertrag angegeben

AdresseWie dem Lieferanten im Rahmen der Hauptvertrag angegeben

Sonstige
Informationen, die zur
Identifizierung derOrganisation
erforderlich sindWie dem Lieferanten im Rahmen der Hauptvertrag angegeben

Name derKontaktperson:

Wie dem Lieferanten im Rahmen der Hauptvertrag angegeben

Stelle:Kontaktinformationen:
Tätigkeiten, die für die
im Rahmen dieser SCCübermittelten Daten
relevant sindWie in Abschnitt 3 des Nachtrags dargelegt

Rolle

Steuerung

Unterschrift und Datum des Datenexporteurs: Die SCCs (Modul 2) werden zusammen mit dieser
Anlage und den Anhängen dieser Anlage als Teil des Nachtrags ausgeführt.

2. Datenimporteur(e): [Identität und Kontaktdaten des/der Datenimporteure(s), einschließlich
aller für den Datenschutz zuständigen Kontaktpersonen.]
Name

Sophos Limited (für und im Namen ihrer Tochtergesellschaften inder EU und der Schweiz)

AdresseThe Pentagon, Abingdon Science Park, Abingdon, OX14 3YP, GB

SPHS2022Dec

20 aus 22

Sonstige
Informationen, die zur
Identifizierung derOrganisation
erforderlich sind

Registriernummer 2096520

Name derKontaktperson:

Datenschutzberater
dataprotection@sophos.com

Stelle:Kontaktinformationen:
Tätigkeiten, die für die
im Rahmen dieser SCCübermittelten Daten
relevant sind

Im Einklang mit dem Abkommen

Unterschrift und Datum des Datenimporteurs: Die SCCs (Modul 2) werden zusammen mit dieser
Anlage und den Anhängen dieser Anlage als Teil des Nachtrags ausgeführt.

B. BESCHREIBUNG DER ÜBERTRAGUNG
1.1. Kategorien von betroffenen Personen, deren personenbezogene Daten übermittelt
werden..
Wie in Anhang 1, Teil A, beschrieben
1.2 Kategorien der übermittelten personenbezogenen Daten.
Wie in Anhang 1, Teil A, beschrieben
Vertrauliche Daten, die (falls zutreffend) übertragen und Beschränkungen oder Garantien
angewendet werden, die die Art der Daten und die damit verbundenen Risiken vollständig
berücksichtigen, wie z. B. strenge Zweckbeschränkungen, Zugriffsbeschränkungen (einschließlich
des Zugriffs nur für Mitarbeiter, die spezielle Schulungen absolviert haben), eine Aufzeichnung desZugriffs auf die Daten führen, Beschränkungen für Weiterüberweisungen oder zusätzliche
Sicherheitsmaßnahmen.
Kein Verzeichnis.
Die Häufigkeit der Übertragung (z. B. ob die Daten einmal oder kontinuierlich übertragen werden).
Kontinuierlich.
Art der Verarbeitung

SPHS2022Dec

21 aus 22

Bereitstellung der von Sophos im Rahmen und gemäß dem Vertrag beschafften
Dienstleistungen.
Zweck(e) der Datenübermittlung und Weiterverarbeitung
Der Lieferant verarbeitet personenbezogene Daten des Verantwortlichen nach Bedarf
zur Erbringung der Dienstleistungen gemäß dem Vertrag und gemäß den Anweisungenvon Sophos bei der Nutzung der Dienste.
Die Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht
möglich ist, die Kriterien, die zur Bestimmung dieser Dauer verwendet werden
Vorbehaltlich Abschnitt 10 des Nachtrags verarbeitet der Lieferant personenbezogene
Daten für die Dauer der Vereinbarung, sofern nicht schriftlich etwas anderes vereinbart
wurde.
Geben Sie bei Übertragungen an (Sub-) Auftragsverarbeiter auch den Gegenstand, die Art und die
Dauer der Verarbeitung an
Der Lieferant ist berechtigt, die Unterauftragsverarbeiter zu verwenden, wie sie Sophos
vom Lieferanten zum Zeitpunkt der Ausführung des Vertrags oder des Nachtrags
mitgeteilt wurden.

C. ZUSTÄNDIGE AUFSICHTSBEHÖRDE
Wie in Abschnitt 3.4 von Anhang 4 zum Nachtrag dargelegt.

ANHANG II – TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN, EINSCHLIESSLICHTECHNISCHER UND ORGANISATORISCHER MASSNAHMEN ZUR GEWÄHRLEISTUNG DER
SICHERHEIT DER DATEN
Wie in Anhang 2 zum Nachtrag dargelegt.
ANHANG III – LISTE DER UNTERVERARBEITER
Entfällt (die Parteien haben Option 2 (Allgemeingenehmigung) in Bezug auf Klausel 9
Buchstabe a der SCC zugestimmt).

SPHS2022Dec

22 aus 22