DSGVO Ergänzung zu personenbezogenen Daten

Diese Ergänzung zum Datenschutz („Ergänzung“) ist Teil der Vereinbarung zwischen: Unternehmen, das in seinem eigenen Namen und als Vertreter für jedes verbundene Unternehmen des Unternehmens handelt; und (ii) Kemin Industries („Kemin“), das in seinem eigenen Namen und als Vertreter für jedes seiner verbundenen Unternehmen handelt.

Die in dieser Ergänzung verwendeten Begriffe haben die in dieser Ergänzung festgelegte Bedeutung. Begriffe, die hierin nicht anderweitig definiert sind, haben die ihnen in der Vereinbarung zugewiesene Bedeutung.  Die Bedingungen der Vereinbarung bleiben mit Ausnahme der unten dargelegten Änderungen in vollem Umfang in Kraft und wirksam.

Die folgenden Klauseln der Ergänzung werden der Vereinbarung beigefügt und sind Bestandteil der Vereinbarung. Im Falle eines Widerspruchs zwischen der Vereinbarung und dieser Ergänzung hat diese Ergänzung Vorrang. Die Nichteinhaltung einer der Bestimmungen dieser Ergänzung durch das Unternehmen gilt als wesentlicher Verstoß gegen die Vereinbarung.

Unter Berücksichtigung der hierin dargelegten gegenseitigen Verpflichtungen vereinbaren die Parteien hiermit, dass die unten dargelegten Bedingungen als Ergänzung zur Vereinbarung hinzugefügt werden.

1. Definitionen

1.1 In dieser Ergänzung haben die folgenden Begriffe die unten dargelegte Bedeutung und verwandte Begriffe sind entsprechend auszulegen:

„Verbundenes Unternehmen von Kemin Industries“ bezeichnet ein Unternehmen, das Kemin Industries besitzt oder kontrolliert, im Besitz oder unter der Kontrolle von Kemin Industries ist oder unter gemeinsamer Kontrolle oder gemeinsamem Besitz mit Kemin Industries steht, wobei „Kontrolle“ als direkte oder indirekte Fähigkeit definiert ist, die Richtung des Managements und die Richtlinien eines Unternehmens zu leiten, ob durch Besitz stimmberechtigter Wertpapiere, gemäß Vertrag oder anderweitig;

„Personenbezogene Daten von Kemin“ bezeichnet personenbezogene Daten, die vom Unternehmen im Auftrag eines verbundenen Unternehmens von Kemin Industries gemäß oder in Verbindung mit der Vereinbarung verarbeitet werden;

„Auftragsverarbeiter“ bezeichnet das Unternehmen oder einen Auftragsverarbeiter im Unterauftragsverhältnis;

„Datenschutzgesetze“ bezeichnet alle geltenden regionalen, nationalen und internationalen (einschließlich der EU) Gesetze, Anordnungen, Vorschriften und regulatorischen Leitlinien in Bezug auf die Verarbeitung oder den Schutz personenbezogener Daten in ihrer jeweils gültigen Fassung, einschließlich insbesondere der Verordnung (EU) 2016/679 vom 27. April 2016, Datenschutz-Grundverordnung („DSGVO“);

„EWR“ bezeichnet den Europäischen Wirtschaftsraum;

„Eingeschränkte Übertragung“ bezeichnet:

· eine Übertragung personenbezogener Daten von Kemin von verbundenen Unternehmen von Kemin Industries an das Unternehmen; oder

· eine Weiterübertragung von personenbezogenen Daten von Kemin vom Unternehmen an einen Auftragsverarbeiter im Unterauftragsverhältnis oder zwischen zwei Einrichtungen des Unternehmens, in jedem Fall, wenn eine solche Übertragung gemäß Datenschutzgesetzen (oder gemäß den Bedingungen von Datenübertragungsvereinbarungen, die geschlossen wurden, um die Beschränkungen der Datenübertragung der Datenschutzgesetze einzuhalten) verboten wäre, wenn die unten dargelegten Standardvertragsklauseln nicht abgeschlossen wurden;

„Dienstleistungen“ bezeichnet die Dienstleistungen und anderen Aktivitäten, die gemäß der Vereinbarung dem Unternehmen bereitgestellt oder vom Unternehmen oder im Namen des Unternehmens für verbundene Unternehmen von Kemin Industries bereitgestellt oder ausgeführt werden;

„Standardvertragsklauseln“ bezeichnet die in Annex 1 dargelegten Vertragsklauseln, in ihrer gemäß den Angaben in diesem Annex geänderten Fassung;

„Auftragsverarbeiter im Unterauftragsverhältnis“ bezeichnet Personen (einschließlich Drittparteien und verbundener Unternehmen des Unternehmens, jedoch ausschließlich Mitarbeiter des Unternehmens oder seiner Unterauftragnehmer), die vom Unternehmen oder verbundenen Unternehmen des Unternehmens oder in deren Namen beauftragt werden, im Namen von verbundenen Unternehmen von Kemin Industries im Zusammenhang mit der Vereinbarung personenbezogene Daten zu verarbeiten; und

„Verbundenes Unternehmen des Unternehmens“ bezeichnet ein Unternehmen, das das Unternehmen besitzt oder kontrolliert, im Besitz oder unter der Kontrolle des Unternehmens ist oder unter gemeinsamer Kontrolle oder gemeinsamem Besitz mit dem Unternehmen steht, wobei „Kontrolle“ als direkte oder indirekte Fähigkeit definiert ist, die Richtung des Managements und die Richtlinien eines Unternehmens zu leiten, ob durch Besitz stimmberechtigter Wertpapiere, gemäß Vertrag oder anderweitig.

1.2 Die Begriffe „Kommission“, „Verantwortlicher“, „betroffene Person“, „Mitgliedsstaat“, „personenbezogene Daten“, „Verletzung des Schutzes personenbezogener Daten“, „Verarbeitung“ und „Aufsichtsbehörde“ haben die gleiche Bedeutung wie in der DSGVO, und verwandte Begriffe sind entsprechend auszulegen.

1.3 Das Wort „einschließlich“ ist so auszulegen, dass es „einschließlich ohne Einschränkung“ bedeutet, und verwandte Begriffe sind entsprechend auszulegen.

2. Ermächtigung

Das Unternehmen garantiert und sichert zu, dass der Abschluss dieser Ergänzung durch das Unternehmen als Vertreter von und im Auftrag eines verbundenen Unternehmens des Unternehmens ordnungsgemäß und effektiv von diesem verbundenen Unternehmen des Unternehmens autorisiert (oder nachfolgend ratifiziert) wurde, bevor dieses verbundene Unternehmen des Unternehmens personenbezogene Daten von Kemin im Namen von verbundenen Unternehmen von Kemin Industries verarbeitet.

3. Verpflichtung des Unternehmens

3.1 Das Unternehmen erkennt an, dass es im Rahmen der Erfüllung der Vereinbarung personenbezogene Daten von Kemin verarbeiten kann.

3.2 Das Unternehmen sichert zu und garantiert kontinuierlich während der gesamten Laufzeit, dass das Unternehmen und jedes verbundene Unternehmen des Unternehmens: (a) personenbezogene Daten von Kemin ausschließlich in Übereinstimmung mit den von Kemin bereitgestellten Anweisungen für die in der Vereinbarung dargelegten Zwecke und nur dann verarbeiten, wenn dies zur Erfüllung ihrer Verpflichtungen aus dieser Vereinbarung erforderlich ist, (b) personenbezogene Daten von Kemin nicht offenlegen, verbreiten, verkaufen, übertragen, leasen, kommerziell nutzen (oder eine solche Nutzung zulassen) oder anderweitig entsorgen oder Drittparteien bereitstellen, (c) personenbezogene Daten von Kemin nicht kopieren, ändern oder abgeleitete Arbeiten von personenbezogenen Daten von Kemin erstellen (einschließlich ohne Einschränkung aggregierter und/oder anonymisierter Daten), es sei denn, dies erfolgt mit vorheriger Genehmigung von Kemin oder dies ist gemäß geltenden Gesetzen, die nicht vertraglich ausgeschlossen werden können, zulässig, (d) organisatorische, administrative, physische und technische Sicherheitsmaßnahmen implementieren und aufrechterhalten, die den höchsten Standards der guten Branchenpraxis entsprechen, um die unbefugte Verarbeitung, Vernichtung oder den Verlust personenbezogener Daten von Kemin, die sich im Besitz, in der Obhut oder unter der Kontrolle des Unternehmens befinden, zu verhindern, (e) ein angemessenes Netzwerksicherheitsprogramm implementieren und aufrechterhalten, das die Verschlüsselung aller sensiblen Daten und personenbezogenen Daten umfasst, (f) ihre Einhaltung von Datenschutzgesetzen sicherstellen, (g) alle angemessenen Vorsichtsmaßnahmen in Bezug auf die Beschäftigung und den dem Unternehmen und seinen verbundenen Unternehmen erteilten Zugriff ergreifen und (h) Kemin auf Aufforderung von Kemin jederzeit während der Laufzeit eine vollständige Kopie von oder vollständigen Zugang zu jeglichen und allen personenbezogenen Daten von Kemin bereitstellen, die sich möglicherweise im Besitz des Unternehmens befinden.

3.3 Das Unternehmen (a) stellt Kemin in Bezug auf Anfragen, Beschwerden und sonstige Korrespondenz mit betroffenen Personen oder Aufsichtsbehörden (einschließlich Anfragen betroffener Personen nach Zugang zu Daten) auf eigene Kosten des Unternehmens angemessene Kooperation, Unterstützung und Informationen bereit. Gleiches gilt, wenn dies angemessen erforderlich ist, damit Kemin seinen Verpflichtungen nach geltenden Datenschutzgesetzen nachkommen kann und (b) ändert, aktualisiert, ergänzt oder löscht personenbezogene Daten bzw. gibt personenbezogene Daten so schnell wie angemessen möglich auf Aufforderung von Kemin zurück.

4. Verarbeitung personenbezogener Daten

4.1 Die Parteien erkennen an und vereinbaren, dass Kemin Industries und/oder seine verbundenen Unternehmen im Hinblick auf die Verarbeitung personenbezogener Daten im Rahmen der Vereinbarung der Datenverantwortliche ist/sind, das Unternehmen ein Datenverarbeiter ist und dass das Unternehmen gemäß den in Abschnitt 7 (Auftragsverarbeiter im Unterauftragsverhältnis) unten dargelegten Anforderungen Auftragsverarbeiter im Unterauftragsverhältnis beauftragen kann.

4.2 Alle mündlichen Anweisungen sind unverzüglich schriftlich oder per E-Mail zu bestätigen. Das Unternehmen informiert Kemin unverzüglich, wenn es der Ansicht ist, dass eine Anweisung gegen Datenschutzgesetze verstößt oder wenn es personenbezogene Daten außerhalb der Anweisungen von Kemin verarbeiten muss.

4.3 Die Art und der Zweck der Verarbeitung personenbezogener Daten durch das Unternehmen sind die Erfüllung der Vereinbarung. Die Dauer der Verarbeitung entspricht der in der Vereinbarung festgelegten Laufzeit, und die Rechte und Pflichten im Rahmen dieser Ergänzung bleiben nach Beendigung der Vereinbarung in Kraft, bis alle im Rahmen dieser Ergänzung verarbeiteten personenbezogenen Daten auf den Systemen des Unternehmens und seiner Auftragsverarbeiter im Unterauftragsverhältnis gelöscht wurden.

Die Arten der verarbeiteten personenbezogenen Daten und die Kategorien der betroffenen Personen im Rahmen dieser Vereinbarung können Folgendes umfassen: Vor- und Nachname, Kontaktdaten des Arbeitgebers, berufliche E-Mail-Adresse, persönliche E-Mail-Adresse, private Telefonnummer, berufliche Postanschrift, private Postanschrift, berufliche Telefonnummer, Geburtsdatum, Nationalität, Geburtsort, Geschlecht, Titel, Position, Stellenbeschreibung, Einzelheiten zur Beschäftigung oder Beschäftigungsbedingungen, Informationen über die Arbeitsleistung, Ernährungsanforderungen und persönliche Lebensdaten.

Die Verarbeitung kann in folgenden Rechtsräumen erfolgen: Die Vereinigten Staaten

5. Mitarbeiter des Unternehmens und der verbundenen Unternehmen des Unternehmens

5.1 Das Unternehmen und jedes verbundene Unternehmen des Unternehmens müssen sicherstellen, dass der Zugriff auf personenbezogene Daten von Kemin auf Mitarbeiter und Auftragnehmer des Unternehmens („Mitarbeiter“) und Vertreter beschränkt ist, die diese Daten kennen müssen oder auf diese Daten zugreifen müssen, damit das Unternehmen seine Verpflichtungen aus der Vereinbarung erfüllen kann. Das Unternehmen stellt sicher, dass seine Mitarbeiter, die an der Verarbeitung personenbezogener Daten beteiligt sind, über die Vertraulichkeit der personenbezogenen Daten informiert werden, angemessen zu ihren Verantwortlichkeiten geschult wurden und schriftliche Vertraulichkeitsverpflichtungen unterzeichnet haben, und dass diese Verpflichtungen nach Beendigung der Beschäftigung dieser Personen beim Unternehmen fortbestehen. Das Unternehmen hat, sofern dies nach den geltenden Datenschutzgesetzen erforderlich ist, einen Datenschutzbeauftragten ernannt, der die Anforderungen dieser Gesetze für die Erfüllung seiner Pflichten erfüllt. Die benannte Person ist unter der in der Vereinbarung angegebenen Adresse und Telefonnummer erreichbar.

6. Sicherheit

6.1 Unter Berücksichtigung des Standes der Technik, der Kosten der Implementierung und der Art, des Umfangs, des Kontextes und der Zwecke der Verarbeitung sowie des Risikos unterschiedlicher Wahrscheinlichkeit und Schwere für die Rechte und Freiheiten natürlicher Personen, implementieren das Unternehmen und jedes verbundene Unternehmen des Unternehmens in Bezug auf die personenbezogenen Daten von Kemin angemessene technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, einschließlich, wie jeweils zutreffend, der in Artikel 32(1) DSGVO genannten Maßnahmen.

6.2 Bei der Beurteilung des angemessenen Sicherheitsniveaus müssen das Unternehmen und jedes verbundene Unternehmen des Unternehmens insbesondere die durch die Verarbeitung entstehenden Risiken berücksichtigen, insbesondere die Risiken einer Verletzung des Schutzes personenbezogener Daten.

7. Unterverarbeitung

7.1 Jedes verbundene Unternehmen von Kemin Industries ermächtigt das Unternehmen und jedes verbundene Unternehmen des Unternehmens, Auftragsverarbeiter im Unterauftragsverhältnis gemäß diesem Abschnitt 7 und etwaigen in der Vereinbarung enthaltenen Beschränkungen zu ernennen (und jedem gemäß diesem Abschnitt 7 ernannten Auftragsverarbeiter im Unterauftragsverhältnis eine solche Ernennung zu gestatten).

7.2 Das Unternehmen und jedes verbundene Unternehmen des Unternehmens können die vom Unternehmen oder einem verbundenen Unternehmen des Unternehmens zum Zeitpunkt dieser Ergänzung bereits beauftragten Auftragsverarbeiter im Unterauftragsverhältnis weiterhin einsetzen, solange das Unternehmen und jedes verbundene Unternehmen des Unternehmens in jedem Fall so schnell wie möglich die in Abschnitt 7.4 dargelegten Verpflichtungen erfüllen.  

7.3 Das Unternehmen hat Kemin im Voraus schriftlich über die Ernennung neuer Auftragsverarbeiter im Unterauftragsverhältnis zu informieren, einschließlich vollständiger Einzelheiten zu der vom Auftragsverarbeiter im Unterauftragsverhältnis durchzuführenden Verarbeitung und der Zusicherungen, die zur Erfüllung der Anforderungen dieser Ergänzung getroffen wurden.

Wenn Kemin das Unternehmen innerhalb von 21 Tagen nach Erhalt dieser Mitteilung schriftlich über Einwände (aus triftigen Gründen) gegen die geplante Ernennung informiert, dürfen weder das Unternehmen noch ein verbundenes Unternehmen des Unternehmens diesen geplanten Auftragsverarbeiter im Unterauftragsverhältnis ernennen (oder diesem personenbezogene Daten von Kemin offenlegen), bis angemessene Schritte unternommen wurden, um die von verbundenen Unternehmen von Kemin erhobenen Einwände zu behandeln und bis Kemin eine angemessene schriftliche Erklärung der unternommenen Schritte erhalten hat.

7.4 In Bezug auf jeden Auftragsverarbeiter im Unterauftragsverhältnis muss das Unternehmen oder das jeweilige verbundene Unternehmen:

7.4.1 vor der ersten Verarbeitung personenbezogener Daten von Kemin durch den Auftragsverarbeiter im Unterauftragsverhältnis (oder gegebenenfalls gemäß Abschnitt 6.2) eine angemessene Due Diligence durchführen, um sicherzustellen, dass der Auftragsverarbeiter im Unterauftragsverhältnis in der Lage ist, das gemäß der Vereinbarung geforderte Schutzniveau für personenbezogene Daten von Kemin bereitzustellen;

7.4.2 sicherstellen, dass die Vereinbarung zwischen einerseits (a) dem Unternehmen oder (b) dem jeweiligen verbundenen Unternehmen des Unternehmens oder (c) dem jeweiligen zwischengeschalteten Auftragsverarbeiter im Unterauftragsverhältnis und andererseits dem Auftragsverarbeiter im Unterauftragsverhältnis einem schriftlichen Vertrag unterliegt, der Bedingungen enthält, die mindestens das gleiche Schutzniveau für personenbezogene Daten von Kemin bieten wie die in dieser Ergänzung dargelegten Bedingungen und die Anforderungen von Artikel 28(3) der DSGVO erfüllen;

7.4.3 wenn solche Vereinbarung eine eingeschränkte Übertragung umfasst, sicherstellen, dass die Standardvertragsklauseln zu allen relevanten Zeitpunkten in die Vereinbarung zwischen einerseits (a) dem Unternehmen oder (b) dem jeweiligen verbundenen Unternehmen des Unternehmens oder (c) dem relevanten zwischengeschalteten Auftragsverarbeiter im Unterauftragsverhältnis und andererseits dem Auftragsverarbeiter im Unterauftragsverhältnis aufgenommen wurden oder vor der ersten Verarbeitung personenbezogener Daten von Kemin durch den Auftragsverarbeiter im Unterauftragsverhältnis dafür sorgen, dass sie mit dem jeweiligen verbundenen Unternehmen von Kemin eine Vereinbarung abschließen, die Standardvertragsklauseln enthält (und Kemin hat dafür zu sorgen, dass jedes verbundene Unternehmen von Kemin, das eine Partei solcher Standardvertragsklauseln ist, diese Klauseln entsprechend ausfüllt und unterzeichnet).

7.4.4 Kemin gelegentlich auf Aufforderung von Kemin Kopien der Vereinbarungen des Unternehmens mit Auftragsverarbeitern im Unterauftragsverhältnis zur Prüfung zur Verfügung stellen (die geschwärzt werden können, um vertrauliche kommerzielle Informationen zu entfernen, die für die Anforderungen dieser Ergänzung nicht relevant sind).

7.5 Das Unternehmen und jedes verbundene Unternehmen des Unternehmens müssen sicherstellen, dass jeder Auftragsverarbeiter im Unterauftragsverhältnis die Verpflichtungen gemäß den Abschnitten 3.1, 4, 6, 8.1, 9.2, 10 und 12.1, soweit sie für die Verarbeitung personenbezogener Daten von Kemin gelten, die von diesem Auftragsverarbeiter im Unterauftragsverhältnis durchgeführt werden, in gleichem Maße erfüllt, als wäre er anstelle des Unternehmens Partei dieser Ergänzung.

8. Rechte betroffener Personen

8.1 Unter Berücksichtigung der Art der Verarbeitung unterstützen das Unternehmen und jedes verbundene Unternehmen des Unternehmens jedes verbundene Unternehmen von Kemin Industries soweit wie möglich durch Implementierung angemessener technischer und organisatorischer Maßnahmen zur Erfüllung der Verpflichtungen des verbundenen Unternehmens von Kemin Industries, wie von Kemin angemessen verstanden, um auf Anfragen zur Ausübung von Rechten betroffener Personen nach den Datenschutzgesetzen zu reagieren.

8.2 Das Unternehmen muss:

8.2.1 Kemin unverzüglich benachrichtigen, wenn das Unternehmen oder ein verbundenes Unternehmen des Unternehmens oder ein Auftragsverarbeiter im Unterauftragsverhältnis eine Anfrage von einer betroffenen Person gemäß Datenschutzgesetzen in Bezug auf personenbezogene Daten von Kemin erhält; und

8.2.2 sicherstellen, dass das Unternehmen oder ein verbundenes Unternehmen des Unternehmens oder ein Auftragsverarbeiter im Unterauftragsverhältnis nicht auf diese Anfrage reagiert, es sei denn, es liegen dokumentierte Anweisungen von Kemin oder dem jeweiligen verbundenen Unternehmen von Kemin Industries vor oder dies ist gemäß geltenden Gesetzen, denen das Unternehmen unterliegt, vorgeschrieben. In diesem Fall hat das Unternehmen Kemin, sofern gemäß geltenden Gesetzen zulässig, über diese rechtliche Anforderung zu informieren, bevor es auf die Anfrage reagiert.

9. Verletzung des Schutzes personenbezogener Daten

9.1 Das Unternehmen benachrichtigt Kemin unverzüglich, wenn das Unternehmen oder ein Auftragsverarbeiter im Unterauftragsverhältnis von einer Verletzung des Schutzes personenbezogener Daten von Kemin Kenntnis erlangt und hat Kemin ausreichend Informationen zur Verfügung zu stellen, um es jedem verbundenen Unternehmen von Kemin Industries zu gestatten, Verpflichtungen hinsichtlich der Meldung oder Benachrichtigung von betroffenen Personen über die Verletzung des Schutzes personenbezogener Daten gemäß Datenschutzgesetzen nachzukommen.

9.2 Das Unternehmen arbeitet mit Kemin und jedem verbundenen Unternehmen von Kemin Industries zusammen und ergreift die angemessenen kommerziellen Schritte, die von Kemin angewiesen werden, um die Untersuchung, Minderung und Behebung jeder solchen Verletzung des Schutzes personenbezogener Daten zu unterstützen.

10. Datenschutz-Folgenabschätzung und vorherige Konsultation

Das Unternehmen und jedes verbundene Unternehmen des Unternehmens unterstützen jedes verbundene Unternehmen von Kemin Industries auf angemessene Weise bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden oder anderen zuständigen Datenschutzbehörden, von denen Kemin angemessen bestimmt, dass verbundene Unternehmen von Kemin Industries diese gemäß Artikel 35 oder 36 der DSGVO oder äquivalenten Bestimmungen anderer Datenschutzgesetze durchführen müssen, in jedem Fall ausschließlich in Verbindung mit der Verarbeitung personenbezogener Daten von Kemin durch das Unternehmen und unter Berücksichtigung der Art der Verarbeitung und der dem Unternehmen zur Verfügung stehenden Informationen.

11. Löschung oder Rückgabe personenbezogener Daten von Kemin

11.1 Vorbehaltlich der Abschnitte 11.2 und 11.3 müssen das Unternehmen und jedes verbundene Unternehmen des Unternehmens unverzüglich und in jedem Fall innerhalb von 21 Tagen nach dem Datum der Einstellung von Dienstleistungen, die die Verarbeitung personenbezogener Daten von Kemin beinhalten (das „Datum der Einstellung“), alle Kopien dieser personenbezogenen Daten von Kemin löschen bzw. für deren Löschung sorgen.

11.2 Vorbehaltlich Abschnitt 11.3 kann Kemin nach eigenem Ermessen durch schriftliche Mitteilung an das Unternehmen verlangen, dass das Unternehmen und jedes verbundene Unternehmen des Unternehmens (a) eine vollständige Kopie aller personenbezogenen Daten von Kemin durch sichere Dateiübertragung in dem Format an Kemin zurückschicken, das Kemin dem Unternehmen angemessen mitteilt und (b) alle anderen Kopien der vom Unternehmen verarbeiteten personenbezogenen Daten von Kemin löschen bzw. für deren Löschung sorgen. Das Unternehmen und jedes verbundene Unternehmen des Unternehmens müssen solchen schriftlichen Anforderungen unverzüglich und spätestens innerhalb von 21 Werktagen nach dem Datum der Einstellung nachkommen.

11.3 Das Unternehmen kann personenbezogene Daten von Kemin aufbewahren, sofern dies nach geltendem Recht erforderlich ist, und nur sofern und solange wie dies nach geltenden Gesetzen erforderlich ist, und immer unter der Voraussetzung, dass das Unternehmen und jedes verbundene Unternehmen des Unternehmens die Vertraulichkeit aller dieser personenbezogenen Daten von Kemin sicherstellen. Ferner müssen sie sicherstellen, dass diese personenbezogenen Daten von Kemin nur so verarbeitet werden, wie es für den/die in den geltenden Gesetzen, die ihre Speicherung vorschreiben, angegebenen Zweck(e) notwendig ist und für keinen anderen Zweck.

11.4 Das Unternehmen muss Kemin innerhalb von 21 Tagen nach dem Datum der Einstellung schriftlich bestätigen, dass das Unternehmen und jedes verbundene Unternehmen des Unternehmens diesen Abschnitt 11 vollständig eingehalten haben.

12. Audit-Rechte

12.1 Vorbehaltlich der Abschnitte 12.2 bis 12.4 stellen das Unternehmen und jedes verbundene Unternehmen des Unternehmens jedem verbundenen Unternehmen von Kemin Industries auf Aufforderung alle Informationen zur Verfügung, die notwendig sind, um die Einhaltung dieser Ergänzung nachzuweisen und haben Audits, einschließlich Inspektionen, durch verbundene Unternehmen von Kemin Industries oder einen von einem verbundenen Unternehmen von Kemin Industries vorgeschriebenen Prüfer im Zusammenhang mit der Verarbeitung personenbezogener Daten von Kemin durch das Unternehmen zuzulassen und zu solchen Audits bzw. Inspektionen beizutragen.

12.2 Informations- und Audit-Rechte des verbundenen Unternehmens von Kemin Industries entstehen unter Abschnitt 12.1 nur, soweit die Vereinbarung ihnen nicht anderweitig Informations- und Audit-Rechte gewährt, die den relevanten Anforderungen des Datenschutzgesetzes entsprechen (einschließlich, falls zutreffend, Artikel 28(3)(h) der DSGVO).

12.3 Kemin oder das jeweilige verbundene Unternehmen von Kemin Industries, das ein Audit durchführt, muss das Unternehmen oder das jeweilige verbundene Unternehmen des Unternehmens angemessen im Voraus über Audits oder Inspektionen informieren, die gemäß Abschnitt 12 durchgeführt werden sollen, und muss angemessene Anstrengungen unternehmen (und sicherstellen, dass jeder seiner beauftragten Prüfer angemessene Anstrengungen unternimmt), um Schäden, Schädigungen oder Störungen der Räumlichkeiten, Ausrüstung, Mitarbeiter und Geschäftstätigkeiten des Unternehmens zu vermeiden (oder, wenn diese nicht vermieden werden können, diese zu minimieren), während seine Mitarbeiter sich im Rahmen eines solchen Audits oder einer solchen Inspektion in diesen Räumlichkeiten aufhalten. Ein Unternehmen muss für die Zwecke eines solchen Audits oder einer solchen Inspektion keinen Zugang zu seinen Räumlichkeiten gewähren:

• an Personen, die keinen angemessenen Identitäts- und Befugnisnachweis vorlegen;
• außerhalb der normalen Geschäftszeiten in diesen Räumlichkeiten, es sei denn, das Audit oder die Inspektion muss auf Notfallbasis durchgeführt werden, und Kemin oder das jeweilige verbundene Unternehmen von Kemin Industries, das ein Audit durchführt, hat das Unternehmen oder das jeweilige verbundene Unternehmen des Unternehmens davon in Kenntnis gesetzt, dass dies der Fall ist, bevor dies außerhalb dieser Zeiten beginnt; oder
• für die Zwecke von mehr als einem Audit oder einer Inspektion in Bezug auf das Unternehmen in einem Kalenderjahr, mit Ausnahme von zusätzlichen Audits oder Inspektionen, die:
  • Kemin oder das jeweilige verbundene Unternehmen von Kemin Industries, das ein Audit durchführt, aufgrund echter Bedenken hinsichtlich der Einhaltung dieser Ergänzung durch das Unternehmen oder das jeweilige verbundene Unternehmen des Unternehmens für angemessen erachtet; oder
  • ein verbundenes Unternehmen von Kemin Industries gemäß Datenschutzgesetzen, einer Aufsichtsbehörde oder laut ähnlichen Zulassungsbehörden, die für die Durchsetzung von Datenschutzgesetzen in den jeweiligen Ländern oder Gebieten verantwortlich sind, durchführen muss oder zu dessen Durchführung es aufgefordert wird, wenn Kemin oder das jeweilige verbundene Unternehmen von Kemin Industries, das ein Audit durchführt, seine Bedenken oder die relevante Anforderung oder Aufforderung in seiner Mitteilung an das Unternehmen oder das jeweilige verbundene Unternehmen des Unternehmens hinsichtlich des Audits oder der Inspektion identifiziert hat.

13. Eingeschränkte Übertragungen

13.1 Vorbehaltlich Abschnitt 13.3 schließen jedes verbundene Unternehmen von Kemin Industries (als „Datenexporteur“) und das Unternehmen (als „Datenimporteur“) hiermit die Standardvertragsklauseln in Bezug auf eingeschränkte Übertragungen von diesem verbundenen Unternehmen von Kemin Industries an das Unternehmen ab.

13.2 Die Standardvertragsklauseln treten nach Abschnitt 13.1 am späteren der folgenden Zeitpunkte in Kraft:

• der Datenexporteur wird eine Partei der Standardvertragsklauseln;
• der Datenimporteur wird eine Partei der Standardvertragsklauseln; und
• Beginn der relevanten eingeschränkten Übertragung.

13.3 Abschnitt 13.1 gilt nicht für eine eingeschränkte Übertragung, es sei denn, seine Wirkung besteht, zusammen mit anderen angemessen praktikablen Compliance-Schritten (die der Klarheit halber nicht das Einholen von Einwilligungen von betroffenen Personen umfassen), darin, die entsprechende eingeschränkte Übertragung ohne Verstoß gegen geltende Datenschutzgesetze zu ermöglichen.

13.4 Das Unternehmen garantiert und sichert zu, dass vor Beginn eingeschränkter Übertragungen an einen Auftragsverarbeiter im Unterauftragsverhältnis, bei dem es sich um kein verbundenes Unternehmen des Unternehmens handelt, der Abschluss der Standardvertragsklauseln durch das Unternehmen oder das jeweilige verbundene Unternehmen des Unternehmens gemäß Abschnitt 13.1 und die Zustimmung zur Variation dieser Standardvertragsklauseln gemäß Abschnitt 14.4.1 als Vertreter von und im Namen dieses Auftragsverarbeiter im Unterauftragsverhältnis ordnungsgemäß und effektiv durch diesen Auftragsverarbeiter im Unterauftragsverhältnis genehmigt (oder nachfolgend ratifiziert) wurden.

14. Allgemeine Bedingungen

Geltendes Recht und Gerichtsstand

14.1 Unbeschadet der Klauseln 7 (Schlichtung und Gerichtsstand) und 9 (Geltendes Recht) der Standardvertragsklauseln gilt Folgendes:

14.1.1 Die Parteien dieser Ergänzung unterwerfen sich hiermit der in der Vereinbarung festgelegten Gerichtsstandswahl in Bezug auf Streitigkeiten oder Ansprüche, die sich auf beliebige Weise aus dieser Ergänzung ergeben, einschließlich Streitigkeiten über ihre Existenz, Gültigkeit oder Kündigung oder die Folgen ihrer Nichtigkeit; und

14.1.2 Diese Ergänzung und alle nicht-vertraglichen oder sonstigen Verpflichtungen, die infolge von oder im Zusammenhang mit dieser Ergänzung entstehen, unterliegen dem Recht des Landes oder Gebietes, das zu diesem Zweck in der Vereinbarung festgelegt ist. 

Rangfolge

14.2 Nichts in dieser Ergänzung schränkt die Verpflichtungen des Unternehmens oder eines verbundenen Unternehmens des Unternehmens im Rahmen der Vereinbarung in Bezug auf den Schutz personenbezogener Daten ein oder gestattet dem Unternehmen oder einem verbundenen Unternehmen des Unternehmens, personenbezogene Daten auf eine Weise zu verarbeiten (oder deren Verarbeitung zu gestatten), die gemäß der Vereinbarung verboten ist. Im Falle von Konflikten oder Unstimmigkeiten zwischen dieser Ergänzung und den Standardvertragsklauseln haben die Standardvertragsklauseln Vorrang.

14.3 Vorbehaltlich Abschnitt 14.2 haben im Falle von Unstimmigkeiten zwischen den Bestimmungen dieser Ergänzung und anderen Vereinbarungen zwischen den Parteien, einschließlich der Vereinbarung und einschließlich (sofern keine ausdrückliche anderslautende, schriftliche im Namen der Parteien unterzeichnete Vereinbarung getroffen wurde) Vereinbarungen, die nach dem Datum dieser Ergänzung abgeschlossen wurden oder abgeschlossen werden sollen, die Bestimmungen dieser Ergänzung in Bezug auf den Gegenstand dieser Ergänzung Vorrang.

Änderungen der Datenschutzgesetze usw.

14.4 Kemin kann:

14.4.1 unter Einhaltung einer Frist von mindestens 30 (dreißig) Kalendertagen durch schriftliche Mitteilung an das Unternehmen gelegentlich Änderungen an den Standardvertragsklauseln (einschließlich der unter Abschnitt 13.1 abgeschlossenen Standardvertragsklauseln) vornehmen, wenn diese für eingeschränkte Übertragungen gelten, die einem bestimmten Datenschutzgesetz unterliegen und die infolge einer Änderung dieses Datenschutzgesetzes oder einer Entscheidung einer zuständigen Behörde nach diesem Datenschutzgesetz erforderlich sind, damit solche eingeschränkten Übertragungen ohne Verstoß gegen dieses Datenschutzgesetz vorgenommen werden können (oder weiterhin vorgenommen werden können); und

14.4.2 andere Änderungen dieser Ergänzung vorschlagen, die Kemin angemessen für notwendig hält, um die Anforderungen von Datenschutzgesetzen zu erfüllen.

14.5 Wenn Kemin gemäß Abschnitt 14.4.1 eine Mitteilung bereitstellt, gilt Folgendes:

14.5.1 Das Unternehmen und jedes verbundene Unternehmen des Unternehmens müssen unverzüglich kooperieren (und sicherstellen, dass betroffene Auftragsverarbeiter im Unterauftragsverhältnis unverzüglich kooperieren), um sicherzustellen, dass gleichwertige Änderungen an Vereinbarungen vorgenommen werden, die gemäß Abschnitt 7.4.3 getroffen wurden; und

14.5.2 Kemin darf die Zustimmung zu folgenden vom Unternehmen vorgeschlagenen Abweichungen dieser Ergänzung nicht unangemessen verweigern oder verzögern, um sich selbst oder ein verbundenes Unternehmen des Unternehmens vor zusätzlichen Risiken im Zusammenhang mit den unter Abschnitt 14.4.1 und/oder 14.5.1 vorgenommenen Änderungen zu schützen.

14.6 Wenn Kemin eine Mitteilung gemäß Abschnitt 14.4.2 bereitstellt, diskutieren die Parteien die vorgeschlagenen Änderungen unverzüglich und verhandeln in gutem Glauben mit dem Ziel, diese oder alternative Änderungen, mit denen die in der Mitteilung von Kemin identifizierten Anforderungen erfüllt werden sollen, so schnell wie möglich zu vereinbaren und zu implementieren.

14.7 Weder Kemin noch das Unternehmen benötigen die Zustimmung oder Genehmigung eines verbundenen Unternehmens von Kemin Industries oder eines verbundenen Unternehmens des Unternehmens, um diese Ergänzung gemäß diesem Abschnitt 14.5 oder anderweitig zu ändern.

Salvatorische Klausel

14.8 Sollte eine Bestimmung dieser Ergänzung ungültig oder undurchsetzbar sein, bleibt der Rest dieser Ergänzung gültig und in Kraft. Die ungültige oder undurchsetzbare Bestimmung wird entweder (i) wie erforderlich geändert, um ihre Gültigkeit und Durchsetzbarkeit zu gewährleisten und die Absichten der Parteien dabei so gut wie möglich zu wahren, oder, falls dies nicht möglich ist, (ii) so ausgelegt, als wäre der ungültige oder undurchsetzbare Teil nie darin enthalten gewesen.