Auftragsverarbeitungs-vereinbarung

AUFTRAGSVERARBEITUNGS-VEREINBARUNG

zwischen dem Unternehmen und Nuance

Letzte Änderung am 01. Oktober 2023  / Frühere Versionen

PRÄAMBEL

(A)  Die Parteien haben eine oder mehrere Vereinbarungen geschlossen, aufgrund derer Nuance an das Unternehmen von Zeit zu Zeit bestimmte Dienste bereitstellt (zusammen als „Hauptvereinbarung“ bezeichnet).

(B)   Die Parteien sind übereingekommen, dass Nuance zur Erfüllung ihrer Verpflichtungen gemäß der Hauptvereinbarung bestimmte personenbezogene Daten verarbeitet, für die das Unternehmen als Verantwortlicher oder als Auftragsverarbeiter im Auftrag eines Verantwortlichen handelt. Nuance ist diesbezüglich Auftragsverarbeiter bzw. Unterauftragsverarbeiter (wie unten definiert).

(C)   Die Parteien sind daher übereingekommen, diese übergreifende AVV über die Verarbeitung personenbezogener Daten durch Nuance in ihrer Eigenschaft als Auftragsverarbeiter oder Unterauftragsverarbeiter zu schließen. 

1.   DEFINITIONEN. Die folgenden Begriffe werden in dieser AVV verwendet: Falls die Definitionen in dieser AVV von der Hauptvereinbarung, soweit sie den Datenschutz betrifft, abweichen, hat diese AVV hinsichtlich des spezifischen Gegenstands der jeweiligen Definition Vorrang.

(a)     „Angemessenes Land“ bezieht sich auf die Bedeutung, die diesem Begriff (oder dem nächstliegenden Begriff) in den Datenschutzgesetzen der einschlägigen Rechtsordnung zugewiesen wird, einschließlich, aber nicht beschränkt auf diejenigen, die von der Europäischen Kommission im Amtsblatt der Europäischen Union veröffentlicht werden und für die beschlossen wurde, dass ein angemessenes Schutzniveau besteht.

(b)    „Biometrische Daten“ hat betreffend jede relevante Rechtsordnung die Bedeutung, die diesem Begriff (oder dem nächstliegenden gleichwertigen Begriff) in den für diese Rechtsordnung anwendbaren Datenschutzgesetzen zugewiesen ist. „Biometrische Kennungen“, und „biometrische Informationen“ werden entsprechend ausgelegt.

(c)    „Unternehmen“ ist die Gesellschaft, die Partei dieser AVV und des Hauptvertrags ist.

(d)    „Datenschutzgesetze“ sind alle Gesetze und Vorschriften sowie deren Änderungen, die für die Verarbeitung personenbezogener Daten im Rahmen der Hauptvereinbarung gelten, einschließlich und unter anderem der DSGVO.

(e)     „Betroffenenersuchen“ ist ein von oder im Namen einer betroffenen Person herangetragenes Ersuchen zur Wahrnehmung Ihrer Rechte nach den Datenschutzgesetzen.

(f)     „EU-Standardvertragsklauseln“ sind die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, basierend auf dem Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021.

(g)    „DSGVO“ ist die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (bekannt als Datenschutz-Grundverordnung).

(h)    „Nuance“ bezeichnet die Nuance-Gesellschaft, die Vertragspartei dieser AVV und der Hauptvereinbarung mit dem Unternehmen ist, das heißt (i) Nuance Communications Inc. mit Sitz in 1 Wayside Rd, Burlington, MA 01803, Vereinigte Staaten, oder (ii) Nuance Communications Ireland Ltd mit Sitz in 57b Harcourt St, Saint Kevin's, Dublin, D02 VE22, Irland.

(i)     „Personenbezogene Daten“ hat die Bedeutung, die diesem Begriff durch die Datenschutzgesetze zugewiesen wird.

(j)     „Verletzung des Schutzes personenbezogener Daten“ ist eine „Verletzung des Schutzes personenbezogener Daten“ oder eine „Datenschutzverletzung“ im Sinne der Datenschutzgesetze im Verantwortungsbereich von Nuance durch ihre Mitarbeiter, Unterauftragsverarbeiter oder andere bekannte oder unbekannte Dritte, nachdem Nuance mit hinreichender Sicherheit davon Kenntnis erlangt hat, dass eine solche Verletzung des Schutzes personenbezogener Daten stattgefunden hat.

(k)    „Dienste“ bezieht sich auf die Anwendung, das Produkt oder die Dienste und anderen Tätigkeiten, wie Support, Wartung oder professionale Dienste („professional services“), die gemäß der Hauptvereinbarung an oder im Auftrag des Unternehmens/eines mit dem Unternehmen verbundenen Unternehmens geliefert bzw. erbracht werden.

(l)      „Britisches Addendum zu internationalen Datenübermittlungen“ ist das internationale Datenübermittlungen betreffende Addendum zu den EU-Standardvertragsklauseln, herausgegeben vom britischen Information Commissioner, für Parteien, die Beschränkungen unterliegende Übermittlungen vornehmen, und am 21. März 2022 in Kraft getreten.

(m)    „Verarbeiten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Aufsichtsbehörde“ haben die ihnen durch die DSGVO zugewiesene Bedeutung. 

Nuance und das Unternehmen werden manchmal einzeln als „Partei“ und gemeinsam als „Parteien“ bezeichnet.

2.  STATUS DER PARTEIEN UND GEGENSTAND DIESER AVV

2.1  Das Unternehmen, als Verantwortlicher oder Auftragsverarbeiter, der im Auftrag des Verantwortlichen handelt, gewährt Nuance das Recht, die personenbezogenen Daten zu verarbeiten, damit sie dem Unternehmen die Dienste gemäß dieser AVV und entsprechend der Hauptvereinbarung bereitstellen kann..

3.  ANFORDERUNGEN AN DIE VERARBEITUNG

3.1  Einzelheiten der Datenverarbeitung. Es obliegt dem Unternehmen die Rechtsgrundlagen für die Verarbeitung der personenbezogenen Daten zu schaffen, einschließlich des Einholens aller erforderlichen Einwilligungen soweit erforderlich.  Das Unternehmen hält diesbezüglich alle geltenden Datenschutzgesetze ein. Die Art der personenbezogenen Daten, die gemäß dieser AVV verarbeitet werden, Gegenstand, Art und Zweck der Verarbeitung, die betroffenen Personen, die Ort(e) der Datenverarbeitung und die Dauer der Aufbewahrung der personenbezogenen Daten sind in den Einzelheiten der Datenverarbeitung abrufbar unter  https://www.nuance.com/de-de/about-us/terms-and-conditions/data-processing-terms/details.html(Neues Fenster öffnen) beschrieben. Die Dauer der Verarbeitung entspricht der Laufzeit der Hauptvereinbarung. 

3.2  Verarbeitung unter der Kontrolle des Verantwortlichen. Nuance verarbeitet die personenbezogenen Daten nur, um die Dienste bereitzustellen, und handelt nur auf dokumentierte Weisungen des Unternehmens - einschließlich betreffend die Übermittlung personenbezogener Daten des Unternehmens durch Nuance in ein Land oder Gebiet - soweit dies für die Bereitstellung der Dienste angemessen ist und dem keine gesetzliche Pflicht, der Nuance unterliegt, entgegensteht. In einem solchen Fall informiert Nuance das Unternehmen vor der Verarbeitung über diese gesetzliche Pflicht, es sei denn, das betreffende Gesetz, die Verordnung oder die Anordnung verbietet eine solche Mitteilung aus wichtigen Gründen des öffentlichen Interesses. Die einzelnen Weisungen des Unternehmens zur Verarbeitung personenbezogener Daten sind in der Hauptvereinbarung und in dieser AVV festgelegt. Das Unternehmen weist Nuance und ihre Unterauftragsverarbeiter sowie verbundenen Unternehmen an, die personenbezogenen Daten zu verwenden, zusammenzustellen (einschließlich der Erstellung statistischer und anderer Modelle), zu annotieren und anderweitig zu analysieren, um die technischen Supportdienste für die Spracherkennung, das Verstehen natürlicher Sprache und andere Software sowie Technologien von Nuance, die in den Diensten enthalten sind, zu betreiben, zu warten, zu optimieren, weiterzuentwickeln, zu verbessern und zu erbringen. Das Unternehmen erkennt an, dass Nuance Datenschutzvorkehrungen wie die Anonymisierung der personenbezogenen Daten anwendet, sofern dies angebracht ist. Weisungen zur Verarbeitung personenbezogener Daten können durch eine Anpassung dieser AVV im Rahmen des festgelegten Änderungskontrollverfahrens angepasst, ergänzt oder ersetzt werden. Weisungen, die in bzw. von der Hauptvereinbarung oder dieser AVV nicht vorgesehen oder erfasst sind, werden als Ersuchen um Änderung dieser AVV behandelt. Zusätzliche oder abweichende Weisungen müssen schriftlich vereinbart werden und können gesondert in Rechnung gestellt werden. Das Unternehmen erkennt an, dass Folgendes die Weisungen darstellt: (a) die Verarbeitung in Übereinstimmung mit der Hauptvereinbarung und, falls vereinbart, dem/den Bestellformular(en) oder der/den Leistungsbeschreibung(en) und (b) die von den Benutzern der Dienste veranlasste Verarbeitung (beispielsweise beim Versenden einer Ausgabedatei per E-Mail an eine andere Person). Es obliegt dem Unternehmen, seine Pflichten als Verantwortlicher gemäß den Datenschutzgesetzen einzuhalten, einschließlich der Bereitstellung von Mitteilungen und des Einholens aller erforderlichen Einwilligungen. Nuance ist verpflichtet, das Unternehmen unverzüglich nach Bekanntwerden zu informieren, wenn (i) eine Weisung ihrer Ansicht nach gegen Datenschutzgesetze verstößt oder (ii) eine Aufsichtsbehörde im Hinblick auf die von Nuance im Rahmen dieser AVV durchgeführten Datenverarbeitungstätigkeiten zusätzliche Informationen anfordert, die sich im Besitz oder in der Kontrolle des Unternehmens befinden. In solchen Fällen hat Nuance das Recht, alle erforderlichen Informationen anzufordern, um die Einhaltung der Verpflichtungen des Unternehmens nachzuweisen. Das Unternehmen kann diese Informationen in angemessenem Umfang schwärzen, um die Vertraulichkeit der personenbezogenen Daten zu wahren.

3.3  Haftungsausschluss von Nuance.  Nuance verarbeitet personenbezogene Daten, die vom Unternehmen in offizielle Datensätze aufgenommen werden können. Nuance betreibt nicht das Zielsystem des Unternehmens für diese Datensätze noch Teile davon, und deshalb speichert oder pflegt Nuance keine offiziellen Datensätze für das Unternehmen. Die Originale aller Datensätze, einschließlich medizinischer Datensätze, werden vom Unternehmen oder seinen anderen Vertragspartnern aufbewahrt. Nuance hat nur Zugriff auf Teile der Datensätze, mittels Fernzugriff auf das Computersystem des Unternehmens im Zusammenhang mit der Erbringung der in der Hauptvereinbarung dargelegten Dienste. 

3.4  Vertraulichkeit. Unbeschadet der bestehenden vertraglichen Vereinbarungen zwischen den Parteien behandelt Nuance alle personenbezogenen Daten streng vertraulich. Nuance ergreift geeignete Maßnahmen, damit nur hierzu berechtigte Mitarbeiter, die bindenden gesetzlichen oder vertraglichen Verpflichtungen zur Vertraulichkeit unterliegen, Zugang zu den personenbezogenen Daten haben. Die Kündigung oder der Ablauf dieser AVV entbindet Nuance nicht von ihren Vertraulichkeitsverpflichtungen.

3.5  Beschränkung des Zugangs. Nuance stellt sicher, dass nur diejenigen Mitarbeiter die Dienste gemäß dieser AVV erbringen, die auch die Dienste nach der Hauptvereinbarung erbringen.

3.6  Datenschutzbeauftragter (DSB). Nuance hat einen Datenschutzbeauftragten bestellt, der unter Privacy@Nuance.com erreichbar ist oder per Post (weltweit) unter:

Chief Privacy Officer

Nuance Communications, Inc.

1 Wayside Road

Burlington MA 01803

USA 

Data Protection Officer

Nuance Communications Ireland, Ltd.

The Harcourt Building, 4th Floor

57B Harcourt Street

Dublin 2, D02 F721

IRELAND

Alle Änderungen dieser Kontaktinformationen werden unter https://www.nuance.com/about-us/company-policies/privacy-policies.html(Neues Fenster öffnen) veröffentlicht.

3.7   Mitteilungen an betroffene Personen. In Bezug auf personenbezogene Daten, die Nuance vom Unternehmen im Rahmen der Hauptvereinbarung zur Verfügung gestellt werden, ist das Unternehmen für die Bereitstellung aller Mitteilungen und Informationen verantwortlich, die gemäß den Datenschutzgesetzen zum Zeitpunkt der Erhebung der Daten erforderlich sind, einschließlich, aber nicht beschränkt auf Mitteilungen betreffend:  

(i)      Empfänger oder Kategorien von Empfängern, wie nach Abschnitt 5 gestattet; und

(ii)    die Übermittlung personenbezogener Daten an Drittländer, wie in der Liste der Unterauftragsverarbeiter, abrufbar unter https://www.nuance.com/de-de/about-us/terms-and-conditions/data-processing-terms/sub-processors.html(Neues Fenster öffnen), angegeben, für die in Abschnitt 3.2 genannten Zwecke. Nuance muss außerdem die in Abschnitt 6 unten genannten Anforderungen an die Datenübermittlung einhalten.

Das Vorstehende gilt unbeschadet etwaiger Benachrichtigungspflichten, denen Nuance oder ihre Unterauftragsverarbeiter gegebenenfalls nach den EU-Standardvertragsklauseln unterliegen.

3.8  Betroffenenersuchen. Im Verhältnis zwischen den Parteien ist das Unternehmen für die Bearbeitung aller Betroffenenersuchen verantwortlich. Nuance benachrichtigt das Unternehmen unverzüglich, wenn sie ein Ersuchen einer betroffenen Person zur Ausübung ihrer Rechte erhält. Unter Berücksichtigung der Art der Verarbeitung unterstützt Nuance das Unternehmen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von besagten Betroffenenersuchen gemäß den Datenschutzgesetzen nachzukommen. Soweit gesetzlich zulässig, trägt das Unternehmen sämtliche Kosten dieser Unterstützung durch Nuance.

3.9  Mitteilung der Verletzung des Schutzes personenbezogener Daten. Nuance hat eine Richtlinie für das Management von Sicherheitsvorfällen und teilt dem Unternehmen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nachdem sie ihr bekanntgeworden ist, mit. Eine solche Mitteilung enthält die erforderlichen Informationen, die Nuance als Auftragsverarbeiter dem Verantwortlichen nach den Datenschutzgesetzen bereitstellen muss, vorausgesetzt dass Nuance diese Informationen zur Verfügung stehen.

Im Hinblick auf die datenschutzrechtlichen Verpflichtungen des Unternehmens untersucht Nuance im Fall einer Verletzung des Schutzes personenbezogener Daten die Ursache hierfür. Zudem ergreift Nuance Maßnahmen, die sie als notwendig und entsprechend den Branchenstandards als angemessen erachtet, um die Ursache zu beheben. 

3.10  Löschung von personenbezogenen Daten. Soweit nach Beendigung dieser AVV oder der Hauptvereinbarung angemessen umsetzbar, löscht Nuance alle personenbezogenen Daten, soweit Nuance nicht nach geltendem Recht zur weiteren Speicherung der personenbezogenen Daten verpflichtet ist. Das Unternehmen erkennt an, dass mit der Löschung der personenbezogenen Daten durch Nuance sämtliche Rechtspflichten zur Rückgabe von personenbezogenen Daten an das Unternehmen erfüllt sind.

3.11  Überprüfungen und Aufzeichnungen. Vorbehaltlich einer angemessenen Vorankündigung durch das Unternehmen legt Nuance dem Unternehmen angemessene Nachweise über ihre Einhaltung dieser AVV und der Datenschutzgesetze vor und ermöglicht und unterstützt Überprüfungen, einschließlich Inspektionen, die vom Unternehmen oder einem anderen vom Unternehmen beauftragten Prüfer durchgeführt werden. Das Überprüfungsrecht des Unternehmens gemäß den Datenschutzgesetzen kann von Nuance dadurch erfüllt werden, dass Nuance dem Unternehmen folgende Informationen zur Verfügung stellt:

 (a)  ein von einem registrierten und unabhängigen externen Prüfer erstellter Auditbericht, der nicht älter als 18 Monate ist und der belegt, dass die in der Beschreibung der Technischen und Organisatorischen Maßnahmen, abrufbar unter https://www.nuance.com/de-de/about-us/terms-and-conditions/data-processing-terms/TOMs.html(Neues Fenster öffnen),  beschriebenen technischen und organisatorischen Maßnahmen von Nuance ausreichend sind und einem anerkannten Industrie-Auditstandard wie SSAE 18, SOC 1, SOC 2, SOC 3, ISO 27001, ISAE 3402 entsprechen; und/oder

 (b)   zusätzliche Informationen, die sich im Besitz oder unter der Kontrolle von Nuance befinden, an eine Aufsichtsbehörde, wenn diese Aufsichtsbehörde zusätzliche Informationen im Zusammenhang mit den von Nuance im Rahmen dieser AVV durchgeführten Datenverarbeitungsaktivitäten anfordert oder benötigt.

 (c)  Ungeachtet des Vorstehenden kann das Unternehmen, falls es eine andere Form der Überprüfung wünscht, die Kontrollmethoden von Nuance auch bei Nuance vor Ort überprüfen. Das Unternehmen soll Nuance gemäß dem in der Hauptvereinbarung befindlichen Abschnitt „Mitteilungen“ kontaktieren. Das Unternehmen erstattet Nuance den Zeitaufwand für eine solche Vor-Ort-Überprüfung zu den zu diesem Zeitpunkt geltenden Nuance-Tarifen für professionelle Dienste („professional services“), die dem Unternehmen auf Anfrage bereitgestellt werden. Vor Beginn einer solchen Vor-Ort-Überprüfung vereinbaren das Unternehmen und Nuance gemeinsam den Umfang, den Zeitpunkt und die Dauer der Überprüfung sowie den Erstattungssatz, den das Unternehmen schuldet. Alle Erstattungssätze müssen unter Berücksichtigung der von Nuance aufgewendeten Ressourcen angemessen sein. Das Unternehmen informiert Nuance unverzüglich über jeden im Zuge einer Überprüfung festgestellten Verstoß und räumt eine angemessene Frist zur Behebung ein

(d) Die Parteien vereinbaren, dass das Unternehmen bei der Durchführung von Überprüfungen betreffend den Schutz personenbezogener Daten, alle angemessenen Maßnahmen ergreift, um die Auswirkungen auf Nuance und den üblichen Geschäftsbetrieb von Nuance zu begrenzen.

3.12  Unterstützung durch Nuance. Die von Nuance, in ihrer Rolle als Auftragsverarbeiter, an das Unternehmen bereitgestellte Unterstützung beschränkt sich auf den Umfang, der nach den Datenschutzgesetzen erforderlich ist, damit das Unternehmen seine Verpflichtungen als Verantwortlicher nach den Datenschutzgesetzen einhalten kann, wobei die Art der Verarbeitung und die Nuance zur Verfügung stehenden Informationen berücksichtigt werden. Dies kann die Unterstützung bei der Gewährleistung eines dem Risiko angemessenen Sicherheitsniveaus der personenbezogenen Daten umfassen, (soweit einschlägig) die Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde und die betroffenen Personen sowie eine angemessene Unterstützung bei Datenschutz-Folgenabschätzungen und die Konsultation der Aufsichtsbehörde vor der Verarbeitung.

4.    SICHERHEIT

Unter Berücksichtigung der neuesten verfügbaren Technologie, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen trifft Nuance geeignete technische und organisatorische Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Sicherheitsniveaus, wie in der Beschreibung der Technischen und Organisatorischen Maßnahmen, abrufbar unter https://www.nuance.com/de-de/about-us/terms-and-conditions/data-processing-terms/TOMs.html(Neues Fenster öffnen), dargelegt. 

5.   UNTERAUFTRAGSVERARBEITUNG

5.1   Verbundene Unternehmen als Unterauftragsverarbeiter. Das Unternehmen erteilt Nuance die allgemeine Genehmigung, andere Gesellschaften, die die Muttergesellschaft von Nuance, Nuance Communications Inc., kontrollieren oder die sich im gemeinsamen Eigentum mit oder unter der gemeinsamen Kontrolle der Muttergesellschaft befinden, („verbundene Unternehmen“) als Unterauftragsverarbeiter zur Unterstützung bei der Bereitstellung der Dienste einzusetzen, wie in der Liste der Unterauftragsverarbeiter, abrufbar unter https://www.nuance.com/de-de/about-us/terms-and-conditions/data-processing-terms/sub-processors.html(Neues Fenster öffnen), angegeben.

5.2    Externe Unterauftragsverarbeiter. Das Unternehmen erteilt Nuance und ihren verbundenen Unternehmen die allgemeine Genehmigung, die in der Liste der Unterauftragsverarbeiter, abrufbar unter  https://www.nuance.com/de-de/about-us/terms-and-conditions/data-processing-terms/sub-processors.html(Neues Fenster öffnen), aufgeführten Unterauftragsverarbeiter einzusetzen.

5.3  Änderungen bei den Unterauftragsverarbeitern. Widerspruchsrecht des Unternehmens. Nuance teilt dem Unternehmen die Namen aller neuen Unterauftragsverarbeiter sowie derjenigen Unterauftragsverarbeiter mit, die die bisherigen Unterauftragsverarbeiter ersetzen sollen, bevor diese Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten beginnen. Innerhalb von zehn (10) Werktagen nach Erhalt der Benachrichtigung über eine Änderung bei den Unterauftragsverarbeitern kann das Unternehmen gegen die Änderungen durch schriftliche Mitteilung an Nuance Widerspruch erheben. In der Mitteilung ist die Grundlage für den Widerspruch des Unternehmens zu beschreiben, der auf vernünftigen Gründen beruhen muss. Wird der Widerspruch nicht innerhalb dieses Zeitraums mitgeteilt, gilt dies als Verzicht auf das Widerspruchsrecht. Wenn das Unternehmen schriftlich Widerspruch erhebt, erörtern Nuance und das Unternehmen den Widerspruch in gutem Glauben, um eine Lösung zu finden. Wenn innerhalb von 30 Tagen nach der ersten Mitteilung des Widerspruchs keine Lösung gefunden wird, und wenn der Hauptvertrag nicht ohne den beanstandeten Unter-Auftragsverarbeiter erfüllt werden kann, kann das Unternehmen die betreffenden Dienste mit einer Frist von 60 Tagen schriftlich kündigen, wobei die Kündigung spätestens 45 Tage nach dem Datum der ersten Mitteilung des Widerspruchs erfolgen muss.

5.4   Verantwortung von Nuance. Nuance und/oder verbundene Unternehmen verlangen von allen Unterauftragsverarbeitern, mit Nuance eine schriftliche Vereinbarung zum Schutz personenbezogener Daten zu schließen, deren Datenschutzpflichten denen in dieser AVV äquivalent sind. Nuance bleibt gegenüber dem Unternehmen in jedem Fall haftbar, wenn ein Unterauftragsverarbeiter seine Vereinbarung mit Nuance verletzt.

6.   ÜBERMITTLUNG VON DATEN

6.1   Hosting-Standort von Nuance. Nuance stellt, betreibt und unterhält an den in den Einzelheiten der Datenverarbeitung, abrufbar unter https://www.nuance.com/de-de/about-us/terms-and-conditions/data-processing-terms/details.html(Neues Fenster öffnen), genannten Standorten die Daten-Hosting-Zentren, um das Betreiben der Dienste zu gewährleisten.

6.2   Übermittlungen an Empfänger außerhalb der ersten Rechtsordnungdurch Nuance. Das Unternehmen erkennt an, dass Nuance personenbezogene Daten verarbeiten darf oder den Zugriff darauf gestatten darf („übermitteln) durch Unterauftragsverarbeiter: (i) außerhalb der Rechtsordnung(en), aus der/denen die personenbezogenen Daten stammen („erste Rechtsordnung“) und (ii) in einer Rechtsordnung, die in der ersten Rechtsordnung nicht als angemessenes Land gilt. Wenn personenbezogene Datendurch Nuance übermittelt werden, stellt Nuance das Vorliegen eines Mechanismus sicher, durch den die Angemessenheit der Verarbeitung gewährleistet ist, z.B.:

(a)    Durch die Zertifizierung der Unterauftragsverarbeiter gemäß dem EU-USA-Datenschutzabkommen (EU-U.S. DPF), der UK-Erweiterung des EU-U.S. DPF, und dem Schweiz-USA-Datenschutzabkommen (Swiss-U.S. DPF);

(b)     Der Abschluss zwischen Nuance und ihren Unterauftragsverarbeitern von EU-Standardvertragsklauseln (Modul Drei – Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter), von denen dem Unternehmen auf Anfrage eine Kopie zur Verfügung gestellt werden kann, und (ii) die Verpflichtung von Unterauftragsverarbeitern zur Einhaltung der Grundsätze der Weiterübermittlung gemäß den EU-Standardvertragsklauseln und

(c)    die Anwendung zusätzlicher Garantien durch Nuance und seine Unterauftragsverarbeiter, soweit erforderlich, um sicherzustellen, dass die personenbezogenen Daten während und nach der Übermittlung einem Schutzniveau unterliegen, das dem der EU gleichwertig ist. Solche Garantien können die Anonymisierung personenbezogener Daten sowie die Pseudonymisierung und Verschlüsselung, auch während der Übermittlung, umfassen, jeweils unter Berücksichtigung des Datenschutzniveaus im Empfängerland und der Art der betroffenen personenbezogenen Daten. Weitere Einzelheiten zu den von Nuance und ihren verbundenen Unternehmen angewandten Garantien sind in der Beschreibung der Technischen und Organisatorischen Maßnahmen, abrufbar unter https://www.nuance.com/de-de/about-us/terms-and-conditions/data-processing-terms/TOMs.html(Neues Fenster öffnen), aufgeführt, wobei die von Nuance und ihren Unterauftragsverarbeitern angewandten zusätzlichen Garantien das Unternehmen nicht von seinen eigenen Datenschutzverpflichtungen entbinden; oder

(d)   Jede andere speziell genehmigte Garantie für die Datenübermittlung gemäß den Datenschutzgesetzen oder ein Angemessenheitsbeschluss durch die Europäische Kommission.

Mit Bezug zu Abschnitt 6.2 (a) wird hiermit bestätigt, dass Nuance Communications Inc. und seine US-Tochtergesellschaften als Unterauftragsverarbeiter unter dem EU-USA-Datenschutzabkommen (EU-U.S. DPF), der UK Erweiterung des EU-U.S. DPF und unter dem Schweiz-USA-Datenschutzabkommen zertifiziert sind und die jeweils damit verbundenen Verpflichtungen erfüllen. Nuance verpflichtet sich, das Unternehmen zu benachrichtigen, sofern es feststellt, dass es mit Bezug zu den erhaltenen Daten den jeweiligen Verpflichtungen nicht mehr nachkommen kann, das Datenschutzniveau zu gewährleisten, wie es jeweils von den Grundsätzen des EU-USA-Datenschutzabkommens, der jeweiligen UK Erweiterung, und dem Schweiz-USA-Datenschutzabkommen in Bezug auf die Verarbeitung personenbezogener Daten jeweils gefordert ist.

6.3   Übermittlungen außerhalb der ersten Rechtsordnung durch das Unternehmen. Wenn aus der ersten Rechtsordnung stammende personenbezogene Daten vom Unternehmen/einem mit dem Unternehmen verbundenen Unternehmen gegenüber einer Nuance-Gesellschaft in einem Land: (i) außerhalb der ersten Rechtsordnung und (ii) einer Rechtsordnung, die in der ersten Rechtsordnung nicht als angemessenen Land gilt, offengelegt werden, gilt Folgendes: 

(a)       Wenn personenbezogene Daten aus einem Land im EWR stammen, gelten die EU-Standardvertragsklauseln (Modul Zwei – Übermittlung von Verantwortlichen an Auftragsverarbeiter), die unter https://www.nuance.com/de-de/about-us/terms-and-conditions/data-processing-terms/eu-standard-contract-clause-C2P.html(Neues Fenster öffnen) abrufbar sind, und das Unternehmen/das mit dem Unternehmen verbundene Unternehmens gilt als Exporteur. Die EU-Standardvertragsklauseln werden hiermit vereinbart und durch Verweis in diese AVV inkorporiert und zu einem integralen Bestandteil. Das Erfordernis, die in Abschnitt 6.2 (a) dargelegten Grundsätze der Weiterübermittlung einzuhalten, und die in Abschnitt 6.2 (b) dargelegten Verpflichtungen gelten entsprechend.

(b)       Für personenbezogene Daten, die aus einem Land außerhalb des EWR stammen, gelten für die grenzüberschreitende Datenübermittlung besondere Bestimmungen, die in Abschnitt 8 unten aufgeführt sind.

7.   ZUSÄTZLICHE BESTIMMUNGEN FÜR BESTIMMTE ARTEN VON PERSONENBEZOGENEN DATEN

7.1  Daten über Kinder. Das Unternehmen sichert hiermit zu und gewährleistet Folgendes:

(a)   Soweit einschlägig, entsprechen die Website, die Dienste und die Produkte des Unternehmens der DSGVO, dem US-Gesetz zum Schutz der Online-Privatsphäre von Kindern von 1998 (Children‘s Online Privacy Protection Act of 1998, „COPPA“) und anderen Datenschutzgesetzen zum Schutz personenbezogener Daten von Kindern unter 16 Jahren („Daten über Kinder“), einschließlich aber nicht beschränkt auf Regelungen für das Einholen von Einwilligungen.

(b)   Das Unternehmen darf die Nuance-Dienste nicht in Verbindung mit einer Online-Seite, einer Online-Dienstleistung oder einem Online-Produkt nutzen, die sich an Kinder unter 16 Jahren als primäre Zielgruppe richten („primär an Kinder gerichtet“). Ob ein Dienst/Produkt primär an Kinder gerichtet ist, bemisst sich nach empirischen Erkenntnissen über die Zusammensetzung des Publikums und nach Erkenntnissen über das Zielpublikum, z.B. anhand des Themas, visuellen Inhalts, der Verwendung von Zeichentrickfiguren oder auf Kinder ausgerichteten Aktivitäten und Anreizen, der Musik oder anderer Audioinhalte, des Alters der Models, der Anwesenheit von Kinderberühmtheiten oder Berühmtheiten, die Kinder ansprechen, der Sprache oder anderer Merkmale der Website oder des Online-Dienstes, sowie danach, ob sich die Werbung, die auf der Seite oder dem Online-Dienst erscheint oder für Letztere wirbt, an Kinder richtet.

(c)   Wenn das Unternehmen die von Nuance lizenzierte Software für Seiten, Dienstleistungen oder Produkte verwendet, die primär an Kinder gerichtet sind, darf es (im Zusammenhang mit der Wartung, dem Support und den Tools betreffend die von Nuance lizenzierte Software oder in anderem Zusammenhang) keine Daten über Kinder an Nuance senden.

(d)   Wenn das Unternehmen Dienste für Online-Seiten, -Dienstleistungen oder -Produkte für ein gemischtes oder allgemeines Publikum nutzt, auf die von Kindern unter 16 Jahren zugegriffen werden kann, die aber nicht primär an Kinder gerichtet sind, müssen im Rahmen des nachprüfbaren Mechanismus für die elterliche Zustimmung, der direkten Benachrichtigung und der Web-Benachrichtigung des Unternehmens, wenn in den Datenschutzgesetzen gefordert, die Übermittlung von Daten über Kinder an Nuance und die Erhebung und Verarbeitung von Daten über Kinder durch Nuance in Übereinstimmung mit dieser AVV angemessen offengelegt und ausreichend erfasst werden.

Die Parteien sind sich einig, dass Nuance kein Betreiber („operator“) im Sinne der Definition des COPPA ist. 

7.2   Einhaltung des CCPA. Soweit Nuance vom Unternehmen zur Verarbeitung im Namen des Unternehmens gemäß dieser AVV „personenbezogene Informationen“ eines „Verbrauchers“, die dem California Consumer Privacy Act („CCPA“) unterliegen, erhält, halten Nuance und das Unternehmen jeweils alle anwendbaren Bestimmungen des CCPA ein. Jede Partei kooperiert auf angemessene schriftliche Anfrage der anderen Partei nach Treu und Glauben, um zusätzliche und angepasste Vertragsregelungen zu vereinbaren, die den Änderungen des CCPA Rechnung tragen, oder um die Konformität der Parteien mit den Änderungen des CCPA auf andere Weise sicherzustellen. Soweit einschlägig gilt Nuance im Rahmen des CCPA als „Dienstanbieter“ für das Unternehmen und wird (a) solche personenbezogenen Informationen nur zu dem spezifischen Zweck der Bereitstellung von Diensten im Rahmen dieser AVV oder wie anderweitig durch den CCPA gestattet, einschließlich für  einen berechtigten „Geschäftszweck“, speichern, verwenden oder offenlegen, (b) solche personenbezogenen Informationen nicht zu einem anderen „kommerziellen Zweck“ als der Bereitstellung der Dienste im Rahmen dieser AVV speichern, verwenden oder offenlegen, (c) solche personenbezogenen Informationen nicht außerhalb der direkten Geschäftsbeziehung zwischen Nuance und dem Unternehmen speichern, verwenden oder offenlegen und (d) solche personenbezogenen Informationen nicht „verkaufen“. Nuance erkennt an und bestätigt, dass es die hier genannten Verbote einhält. Für die Zwecke dieses Absatzes haben die Begriffe „personenbezogene Informationen“, „Verbraucher“, „Dienstanbieter“, „Geschäftszweck“, „kommerzieller Zweck“ und „verkaufen“ die im CCPA festgelegte Bedeutung.

7.3  Biometrische Daten.

7.3.1   Der in Abschnitt 1 definierte Begriff der personenbezogenen Daten umfasst biometrische Daten, soweit Nuance biometrische Kennungen, biometrische Informationen oder personenbezogene Daten erstellt oder vom Unternehmen erhält, die aus einer spezifischen technischen Verarbeitung in Bezug auf die physischen, physiologischen oder verhaltensbezogenen Merkmale einer natürlichen Person resultieren und die die eindeutige Identifizierung oder Authentifizierung dieser natürlichen Person ermöglichen oder bestätigen.

7.3.2   Zusätzlich zu den in Abschnitt 3.7 aufgeführten Anforderungen ist das Unternehmen verantwortlich für die Bereitstellung von Mitteilungen, schriftlichen Richtlinien/Erklärungen, die der Öffentlichkeit zur Verfügung gestellt werden, und/oder von Informationen betreffend personenbezogene Daten, die durch die Datenschutzgesetze vorgeschrieben sind, einschließlich jedoch nicht beschränkt auf Mitteilungen über:

(i)   die Aufzeichnung von Gesprächen mit dem Unternehmen und die Weitergabe dieser Aufzeichnungen an Nuance, die verbundenen Unternehmen und Unterauftragsverarbeiter von Nuance;

(ii)   die Verarbeitung von physischen, physiologischen oder verhaltensbezogenen Merkmalen durch Nuance zum Zweck der Erstellung, Erhebung oder Speicherung personenbezogener Daten. Das Unternehmen erkennt an, dass eine solche Verarbeitung dem begrenzten Zweck der Servicebereitstellung dient und Nuance die biometrische Kennung oder die biometrischen Daten von natürlichen Personen weder kauft, verkauft, vermietet, damit handelt noch anderweitig davon profitiert;

(iii)  die Aufbewahrungsdauer und die Richtlinien für die dauerhafte Vernichtung der biometrischen Kennung oder der biometrischen Daten, die erhoben, gespeichert und verwendet werden

7.3.3  Das Unternehmen muss, soweit vorgeschrieben, alle erforderlichen Einwilligungen, Freigaben oder Lizenzen einholen, damit Nuance die personenbezogenen Daten erfassen, speichern, verarbeiten, offenlegen, nutzen und international übermitteln kann.

7.3.4  Das Unternehmen gibt alle notwendigen Informationen an Aufsichtsbehörden weiter und holt deren Genehmigungen ein, die gemäß den Datenschutzgesetzen erforderlich sind, einschließlich, aber nicht beschränkt auf das Gesetz von Quebec zur Schaffung eines rechtlichen Rahmens für Informationstechnologie (R.S.Q., c. C-1.1), das Regelungen zu Datenbanken mit biometrischen Merkmalen und Messungen enthält.

7.3.5   Wenn eine Person sich von der biometrischen Authentifizierung abmeldet, ihr Konto geschlossen wird oder wenn der ursprüngliche Zweck für die Erhebung oder den Erhalt dieser personenbezogenen Daten anderweitig erfüllt wurde, muss das Unternehmen Nuance Weisungen betreffend die nach den Datenschutzgesetzen erforderliche Löschung der personenbezogenen Daten erteilen.

7.3.6   Wenn das Unternehmen die Bestimmungen dieses Abschnitts 7.3 nicht einhält, stellt dies einen wesentlichen Verstoß gegen diese AVV und die Hauptvereinbarung dar und berechtigt Nuance, die Bereitstellung der Dienste auszusetzen. 

8.    ZUSÄTZLICHE BESTIMMUNGEN FÜR PERSONEN, DIE SICH IN BESTIMMTEN LÄNDERN BEFINDEN.

Je nach Land, in dem sich die Person, deren personenbezogene Daten verarbeitet werden, befindet, gelten einzelne oder mehrere der folgenden zusätzlichen Bestimmungen.

8.1   ZUSÄTZLICHE BESTIMMUNGEN FÜR ARGENTINIEN

8.1.1  Datenschutzgesetz. In Bezug auf die personenbezogenen Daten von Personen in Argentinien umfassen die in Abschnitt 1 definierten Datenschutzgesetze die argentinischen Datenschutzprinzipien, wie sie im argentinischen Gesetz 25.326 zum Schutz personenbezogener Daten definiert sind.

8.1.2  Allgemeine Verpflichtung bei der Verarbeitung. Nuance verarbeitet die personenbezogenen Daten in Übereinstimmung mit den Bestimmungen der Datenschutzgesetze.

8.1.3  Übermittlung an Empfänger außerhalb Argentiniens durch das Unternehmen. In Bezug auf personenbezogene Daten, die aus Argentinien stammen, vereinbaren die Parteien die Geltung der Argentinischen Standardvertragsklauseln, abrufbar unter  https://www.nuance.com/de-de/about-us/terms-and-conditions/data-processing-terms/ar-standard-contract-clause.html(Neues Fenster öffnen).

8.1.4   Übermittlung an Empfänger außerhalb Argentiniens durch Nuance.. Erfolgt die Datenübermittlung an einen Unterauftragsverarbeiter, der nicht in einem angemessenen Land sitzt, stellt Nuance sicher, dass ein Mechanismus besteht, der die Angemessenheit der Verarbeitung gewährleistet, wie z. B.:

(a)  Der Abschluss der argentinischen Standardvertragsklauseln durch Nuance für sich selbst und/oder im Namen des Unternehmens. Auf Anfrage stellt Nuance dem Unternehmen Kopien solcher Vereinbarungen zur Durchsicht zur Verfügung, vorbehaltlich der Schwärzung vertraulicher Geschäftsinformationen, die für die Anforderungen dieser AVV nicht relevant sind. Das Unternehmen bevollmächtigt Nuance und ihre verbundenen Unternehmen, im Namen des Unternehmens argentinische Standardvertragsklauseln im Einklang mit dieser AVV und den Argentinischen Standardvertragsklauseln abrufbar unter https://www.nuance.com/de-de/about-us/terms-and-conditions/data-processing-terms/ar-standard-contract-clause.html(Neues Fenster öffnen) für Datenübermittlungen von Verantwortlichen an Auftragsverarbeiter zu schließen;

(b)  Das Vorhandensein eines Selbstregulierungsrahmens oder verbindlicher interner Datenschutzvorschriften, die einen angemessenen Schutz der übermittelten personenbezogenen Daten bieten.

8.2    ZUSÄTZLICHE BESTIMMUNGEN FÜR AUSTRALIEN

8.2.1  Datenschutzgesetz. In Bezug auf die personenbezogenen Daten von Personen in Australien umfassen die in Abschnitt 1 definierten Datenschutzgesetze die geltenden Datenschutzgesetze auf Bundes-, Bundesstaats- und Territorialebene.

8.2.2  Allgemeine Verpflichtung bei der Verarbeitung. Nuance verarbeitet die personenbezogenen Daten in Übereinstimmung mit den Datenschutzgesetzen.

8.2.3       Verpflichtung zur Benachrichtigung bei Schutzverletzungen. Wenn das Unternehmen in Australien ansässig ist, umfasst die in Abschnitt 1 festgelegte Definition der Verletzung des Schutzes personenbezogener Daten alle „erfassten Datenverstöße“ gemäß der Definition des australischen Programms für meldepflichtige Datenschutzverletzungen.

8.2.4       Übermittlungen an Empfänger außerhalb Australiens. Zusätzlich zu den Anforderungen nach Abschnitt 6.3 wird Nuance im Falle der Übermittlung personenbezogener Daten an Empfänger außerhalb Australiens mit den Übermittlungsempfängern Vereinbarungen schließen oder geschlossen haben, die im gleichen Umfang vertragliche Schutzmaßnahmen zur Sicherung und zum Schutz der personenbezogenen Daten vorsehen, wobei die Schutzmaßnahmen im Wesentlichen den australischen Datenschutzgrundsätzen entsprechen, wie dies durch die Nuance in dieser AVV auferlegten Verpflichtungen erfolgt.

8.3   ZUSÄTZLICHE BESTIMMUNGEN FÜR BRASILIEN

8.3.1  Datenschutzgesetz. In Bezug auf die personenbezogenen Daten von Personen in Brasilien umfassen die in Abschnitt 1 definierten Datenschutzgesetze die „LGPD“ oder die brasilianische Datenschutz-Grundverordnung, Gesetz Nr. 13.709/2018, die die Verarbeitung personenbezogener Daten in Brasilien regelt.

8.3.2 Allgemeine Verpflichtung bei der Verarbeitung. Nuance verarbeitet die personenbezogenen Daten in Übereinstimmung mit der brasilianischen Datenschutz-Grundverordnung, Gesetz Nr. 13.709/2018.

8.3.3  Übermittlung an Empfänger außerhalb Brasiliens. Zusätzlich zu den Anforderungen nach Abschnitt 6.3 gilt Folgendes: Für den Fall, dass Nuance personenbezogene Daten in ein Land außerhalb Brasiliens übermittelt, das nicht als angemessenes Land gilt, wird Nuance mit den Übermittlungsempfängern Vereinbarungen schließen oder geschlossen haben, die vertragliche Schutzmaßnahmen zur Sicherung und zum Schutz der personenbezogenen Daten im gleichen Umfang vorsehen, wie es die Nuance durch diese AVV auferlegten Verpflichtungen erfordern.

8.4  ZUSÄTZLICHE BESTIMMUNGEN FÜR KANADA

8.4.1  Verantwortlicher. In Bezug auf die Verarbeitung personenbezogener Daten von Personen in Kanada umfasst der in Abschnitt 1 definierte Begriff des Verantwortlichen eine Organisation in Bezug auf personenbezogene Daten, welche diese im Rahmen von Geschäftstätigkeiten erhebt, nutzt oder offenlegt, einen Verwalter von Gesundheitsdaten, einen Verwalter, eine öffentliche Einrichtung, ein Unternehmen, einen Treuhänder oder eine ähnliche Stelle gemäß den geltenden Datenschutzgesetzen.

8.4.2  Datenschutzgesetze. In Bezug auf die personenbezogenen Daten von Personen in Kanada umfasst der in Abschnitt 1 definierte Begriff der Datenschutzgesetze das geltende Datenschutzrecht auf Bundes- und Provinzebene.

8.4.3  Personenbezogene Daten. Der in Abschnitt 1 definierte Begriff der personenbezogenen Daten umfasst personenbezogene Informationen und personenbezogene Gesundheitsinformationen, entsprechend der Definition dieser Begriffe in den geltenden Datenschutzgesetzen.

8.4.4  Auftragsverarbeiter. In Bezug auf die Verarbeitung personenbezogener Daten von Personen in Kanada umfasst der in Abschnitt 1 definierte Begriff des Auftragsverarbeiters auch einen Vertreter, einen Anbieter, einen Dienstleister oder eine ähnliche Stelle gemäß den geltenden Datenschutzgesetzen.

8.4.5  Allgemeine Verpflichtung bei der Verarbeitung. Nuance verarbeitet die personenbezogenen Daten in Übereinstimmung mit den Datenschutzgesetzen. Diese AVV gilt für alle personenbezogenen Daten, die von Nuance im Auftrag des Unternehmens verarbeitet werden, unabhängig davon, ob sie direkt oder indirekt vom Unternehmen stammen. Dies schließt personenbezogene Daten des Unternehmens ein, die Nuance von einem Vertriebspartner oder Reseller bei der Erbringung von Supportdiensten für das Unternehmen zur Verfügung gestellt werden.

8.4.6  Übermittlungen an Empfänger außerhalb Kanadas.  Das Unternehmen erkennt an, dass Nuance im Rahmen der Erfüllung dieser AVV personenbezogene Daten an Empfänger außerhalb Kanadas übermitteln kann. In diesem Fall wird Nuance, in Übereinstimmung mit dem Grundsatz der Rechenschaftspflicht, mit den Übermittlungsempfängern Vereinbarungen treffen oder getroffen haben, die in demselben Umfang zum Schutz und zur Sicherung personenbezogener Daten verpflichten, wie es die Nuance durch diese AVV auferlegten Verpflichtungen erfordern.

8.4.7  Geltendes Recht. Diese Vereinbarung unterliegt den Gesetzen der Provinz, in der sich das Unternehmen befindet („maßgebliche Provinz“), und den dort geltenden Bundesgesetzen Kanadas, mit Ausnahme der Grundsätze des Kollisionsrechts. Die Parteien vereinbaren, alle Streitigkeiten im Zusammenhang mit dieser Vereinbarung ausschließlich den Gerichten in der maßgeblichen Provinz vorzulegen. Die Parteien stimmen der Zuständigkeit dieser Gerichte zu und verzichten auf jegliche Einwände hinsichtlich des Gerichtsstands.

8.5  ZUSÄTZLICHE BESTIMMUNGEN FÜR CHILE

8.5.1  Datenschutzgesetz. In Bezug auf die personenbezogenen Daten von Personen in Chile umfassen die in Abschnitt 1 definierten Datenschutzgesetze das chilenische Gesetz 19628 über den Schutz des Privatlebens in der geltenden Fassung.

8.6  ZUSÄTZLICHE BESTIMMUNGEN FÜR KOLUMBIEN

8.6.1  Datenschutzgesetz. In Bezug auf die personenbezogenen Daten von Personen in Kolumbien umfassen die in Abschnitt 1 definierten Datenschutzgesetze das kolumbianische Gesetz 1581 von 2012 und den Erlass 1074 von 2015.

8.6.2  Allgemeine Verpflichtung bei der Verarbeitung. Nuance verarbeitet die personenbezogenen Daten in Übereinstimmung mit den kolumbianischen Datenschutzprinzipien, wie in Artikel 4 des Gesetzes 1581 von 2012 definiert.

8.6.3  Angemessenheitsbeschlüsse. „Angemessenes Land“ bezeichnet ein Land und eine internationale Organisation, zu dem bzw. der eine entsprechende Veröffentlichung der kolumbianischen Datenschutzbehörde (Oberaufsicht für Industrie und Handel) besteht.

8.6.4  Übermittlung an Empfänger außerhalb Kolumbiens. Nuance darf die im Rahmen dieser AVV und der Hauptvereinbarung verarbeiteten personenbezogenen Daten in jedes Land oder Gebiet übermitteln oder übertragen, auch wenn es nach kolumbianischem Recht nicht als angemessenes Land angesehen wird, es sei denn, das Unternehmen verlangt ausdrücklich und schriftlich, dass an ein bestimmtes Land keine Übermittlung oder Übertragung erfolgt. Das Unternehmen garantiert, dass Übermittlungen oder Übertragungen durch Nuance gemäß der von der betroffenen Person erteilten Einwilligung zulässig sind.

8.6.5  Meldung einer Verletzung des Schutzes Personenbezogener Daten. Das Unternehmen und Nuance kooperieren im Hinblick auf ihre beidseitige Verpflichtung, der Oberaufsicht für Industrie und Handel jeden Verstoß gegen die Sicherheitsmaßnahmen und das Bestehen von Risiken bei der Verwaltung der personenbezogenen Daten innerhalb von 15 Arbeitstagen ab dem Datum zu melden, an dem die Verletzung des Schutzes personenbezogener Daten festgestellt wurde.

8.7  ZUSÄTZLICHE BESTIMMUNGEN FÜR JAPAN

8.7.1 Datenschutzgesetze. In Bezug auf die personenbezogenen Daten von Personen in Japan umfassen die in Abschnitt 1 definierten Datenschutzgesetze das japanische Gesetz zum Schutz personenbezogener Informationen und die von der japanischen Kommission für den Schutz personenbezogener Informationen („Personal Information Protection Commission”) herausgegebenen einschlägigen Richtlinien.

8.7.2  Übermittlungen an Empfänger außerhalb Japans. Nuance kann die im Rahmen dieser AVV und der Hauptvereinbarung verarbeiteten personenbezogenen Daten in jedes Land oder Gebiet übermitteln, auch wenn es nach japanischem Recht nicht als angemessenes Land gilt, es sei denn, das Unternehmen verlangt ausdrücklich und schriftlich, dass die Übermittlung in ein bestimmtes Land unterbleibt, wobei Nuance in diesem Fall möglicherweise nicht in der Lage ist, die Dienste zu erbringen, was, um Zweifel auszuschließen, keinen Verstoß gegen die Hauptvereinbarung darstellt. Das Unternehmen garantiert, dass Übermittlungen oder Übertragungen durch Nuance im Rahmen der von der betroffenen Person erteilten Einwilligung zulässig sind.

8.8  ZUSÄTZLICHE BESTIMMUNGEN FÜR MEXICO

8.8.1  Datenschutzgesetz. In Bezug auf die personenbezogenen Daten von Personen in Mexiko umfassen die in Abschnitt 1 definierten Datenschutzgesetze das mexikanische Bundesgesetz über den Schutz personenbezogener Daten im Besitz von Privatpersonen. 

8.8.2  Übermittlungen an Empfänger außerhalb Mexicos. Für den Fall, dass Nuance personenbezogene Daten in ein Land außerhalb Mexikos übermittelt, wird Nuance mit den Empfängern Vereinbarungen treffen oder getroffen haben, die vertragliche Schutzmaßnahmen zur Sicherung und zum Schutz der personenbezogenen Daten in demselben Umfang vorsehen, wie es die Nuance durch diese AVV auferlegten Verpflichtungen erfordern.

8.9  ZUSÄTZLICHE BESTIMMUNGEN FÜR SÜD AFRIKA

8.9.1  Datenschutzgesetze. In Bezug auf personenbezogene Daten von Personen mit Wohnsitz in der Republik Südafrika („Südafrika“) umfassen die in Abschnitt 1 definierten Datenschutzgesetze auch den südafrikanischen Protection of Personal Information Act („POPIA“).

8.9.2  Allgemeine Verarbeitungsverpflichtung. Nuance verarbeitet die personenbezogenen Daten in Übereinstimmung mit POPIA, wie in den geltenden Datenschutzgesetzen definiert.

8.9.3  Übermittlungen an Empfänger außerhalb Südafrikas. Wenn das Unternehmen im Zusammenhang mit dieser AVV personenbezogene Daten an Nuance außerhalb Südafrikas übermittelt, unterliegt diese Übermittlung den in Abschnitt 6.3 aufgeführten Standardvertragsklauseln, wobei die folgenden Änderungen gelten: (i) die zuständige Aufsichtsbehörde ist die südafrikanische Informationsregulierungsbehörde; (ii) es gilt südafrikanisches Recht; (iii) der Gerichtsstand ist Südafrika und (iv) die Verpflichtungen gemäß den Klauseln 14 und 15 der Standardvertragsklauseln gelten nicht.

8.10  ZUSÄTZLICHE BESTIMMUNGEN FÜR SÜDKOREA

Nuance kann die im Rahmen dieser AVV und der Hauptvereinbarung verarbeiteten personenbezogenen Daten in jedes beliebige Land oder Gebiet übertragen oder übermitteln, es sei denn das Unternehmen verlangt ausdrücklich und schriftlich, sie nicht in ein bestimmtes Land zu übertragen oder zu übermitteln. In diesem Fall ist Nuance möglicherweise nicht in der Lage, die Dienste zu erbringen, was, um Zweifel auszuschließen, keinen Verstoß gegen die Hauptvereinbarung darstellt. Das Unternehmen garantiert, dass Übermittlungen oder Übertragungen durch Nuance im Rahmen der von der betroffenen Person erteilten Einwilligung zulässig sind.

8.11  ZUSÄTZLICHE BESTIMMUNGEN FÜR DAS VEREINIGTE KÖNIGREICH

8.11.1  Datenschutzgesetze. In Bezug auf die personenbezogenen Daten von Personen im Vereinigten Königreich umfassen die Datenschutzgesetze und die DSGVO, wie in Abschnitt 1 definiert, die Verordnung (EU) 2016/679, wie sie Teil des Rechts von England und Wales, Schottland und Nordirland ist, entsprechend und gemäß den Änderungen nach den Rechtsvorschriften, die aus dem Gesetz von 2018 über den Austritt des Vereinigten Königreichs aus der Europäischen Union resultieren.

8.11.2  Übermittlung an Empfänger außerhalb des Vereinigten Königreichs durch das Unternehmen. Für personenbezogene Daten, die aus dem Vereinigten Königreich stammen, vereinbaren die Parteien die Geltung des britischen Addendums zu internationalen Datenübermittlungen zwischen dem Unternehmen und dem mit Nuance verbundenen Unternehmen mit Sitz  außerhalb des Vereinigten Königreichs, abrufbar unter https://www.nuance.com/about-us/terms-and-conditions/data-processing-terms/uk-standard-contract-clause.html(Neues Fenster öffnen).

8.11.3   Übermittlungen an Empfänger außerhalb des Vereinigten Königreichs. Wenn die Datenübermittlung an einen Unterauftragsverarbeiter erfolgt, der nicht in einem angemessenen Land sitzt, stellt Nuance sicher, dass ein Mechanismus vorliegt, der die Angemessenheit der Verarbeitung gewährleistet, beispielsweise:

(a)       Der Abschluss des britischen Addendums zu internationalen Datenübermittlung, von dem auf Anfrage eine Kopie zur Verfügung gestellt werden kann;

(b)       Das Vorhandensein eines Selbstregulierungsrahmens oder verbindlicher interner Datenschutzvorschriften, die einen angemessenen Schutz der übermittelten personenbezogenen Daten gewährleisten.

9.  SCHLUSSBESTIMMUNGEN

9.1       Rangfolge. Soweit Bestimmungen dieser AVV mit Bestimmungen der Hauptvereinbarung in Widerspruch stehen, hat diese AVV hinsichtlich des spezifischen Regelungsgegenstands solcher Bestimmungen Vorrang. Die Bestimmungen dieser AVV dienen als Klarstellung, wie die Parteien ihren Verpflichtungen gemäß den in den jeweiligen Rechtsordnungen geltenden Standardvertragsklauseln nachkommen. Sollte eine dieser Bestimmungen im Widerspruch zu den Standardvertragsklauseln stehen, so haben die Standardvertragsklauseln bis zu dem Grad, in dem der Widerspruch besteht, Vorrang.

9.2      Sprache. Wenn Nuance diese AVV im Hinblick auf das Sitzland des Unternehmens in mehr als einer Sprache zur Verfügung stellt und es eine Diskrepanz zwischen dem englischen Text und der Übersetzung gibt, gilt der englische Text.

9.3      Aktualisierungen der AVV-Regelungen. Wenn das Unternehmen sein Abonnement für die Dienste verlängert, ein neues Abonnement oder einen Arbeitsauftrag für einen professionellen Dienst („professional Service“) abschließt, gilt hierfür die zu diesem Zeitpunkt aktuelle Version dieser AVV. Die geltende Version ändert sich während des Abonnements des Unternehmens für diesen Dienst bzw. während der Laufzeit des beauftragten professionellen Dienstes nicht. Ungeachtet des Vorstehenden kann Nuance, wenn es neue Funktionen, Angebote, Ergänzungen oder zugehörige Software einführt (also Neuerungen, die zuvor nicht in den Diensten enthalten waren), für die Nutzung dieser Neuerungen durch das Unternehmen Bedingungen einführen oder diese AVV aktualisieren. Wenn diese Bedingungen zu erheblichen Nachteilen bei den AVV-Regelungen führen, bietet Nuance dem Unternehmen für allgemein verfügbare Dienste die Möglichkeit an, die neuen Funktionen, Angebote, Ergänzungen oder die zugehörige Software ohne Einbußen der bestehenden Funktionalität zu nutzen. Wenn das Unternehmen die neuen Funktionen, Angebote, Ergänzungen oder die zugehörige Software nicht installiert oder nutzt, gelten die entsprechenden neuen Bedingungen nicht.

9.4     Regulatorische Änderungen. Ungeachtet der Bestimmungen in Abschnitt 9.3 kann Nuance einen Dienst in einem Land oder einer Jurisdiktion ändern oder einstellen, wenn dort gegenwärtig oder künftig eine staatliche Verpflichtungen besteht, die (1) Nuance einer Regelung oder Anforderung unterwirft, welche nicht allgemein auf dort tätige Unternehmen anwendbar ist, (2) dazu führt, dass die weitere unveränderte Bereitstellung der Dienste für Nuance eine Härte darstellen würde, und/oder (3) Nuance zu der Annahme veranlasst, dass die AVV-Regelungen oder die Dienste mit der Verpflichtung in Widerspruch stehen könnten.

9.5  Vollständige Vereinbarung. Diese AVV ersetzt alle früheren Vereinbarungen und Absprachen zwischen den Parteien und stellt die gesamte Vereinbarung zwischen den Parteien in Bezug auf den Gegenstand dieser AVV dar.

9.6   Gültigkeit und Durchsetzbarkeit. Sollte eine Bestimmung dieser AVV ungültig oder nicht durchsetzbar sein, so bleiben die übrigen Bestimmungen dieser AVV gültig und in Kraft. Die unwirksamen oder undurchführbaren Bestimmungen sind entweder (i) so zu ändern, wie es erforderlich ist, um ihre Wirksamkeit und Durchsetzbarkeit zu gewährleisten, wobei die Absichten der Parteien so weit wie möglich berücksichtigt werden, oder, falls dies nicht möglich ist, (ii) so auszulegen, als ob der unwirksame oder nicht durchsetzbare Teil nie enthalten gewesen wäre.

9.7   In Nicht-Produktionsumgebungen können geringere oder andere Datenschutz- und Sicherheitsmaßnahmen bestehen als dies typischerweise in einer Produktionsumgebung der Fall ist. Wenn das Unternehmen personenbezogene Daten oder andere Daten, hinsichtlich derer gesetzliche oder behördliche Anforderungen bestehen, an eine Nicht-Produktionsumgebung sendet oder den betroffenen Personen gestattet, dies zu tun, erkennt es an, dass es dies auf eigene Verantwortung tut. Die folgenden Regelungen in dieser AVV gelten nicht für Nicht-Produktionsumgebungen: Anforderungen an die Datenverarbeitung, Sicherheit, zusätzliche Bestimmungen für bestimmte Arten von personenbezogenen Daten und zusätzliche Bestimmungen für Personen, die sich in bestimmten Ländern befinden.

9.8   Bezüglich Komponenten, die das Unternehmen bereitstellt oder die seiner Kontrolle unterliegen (beispielsweise seine Zugangsdaten für den Zugriff auf webbasierte Tools für die Berichterstattung oder Selbstbedienung, die Nuance ihm in Verbindung mit den Diensten zur Verfügung stellt), ist das Unternehmen für die Durchführung und Aufrechterhaltung von Datenschutz- und Sicherheitsmaßnahmen verantwortlich.

Die folgenden zusätzlichen Regelungen sind Teil dieser AVV und werden hierin, soweit einschlägig, wie oben angegeben inkorporiert.

Einzelheiten der Datenverarbeitung abrufbar, unter https://www.nuance.com/de-de/about-us/terms-and-conditions/data-processing-terms/details.html(Neues Fenster öffnen).  

Beschreibung der Technischen und Organisatorischen Maßnahmen, abrufbar unter https://www.nuance.com/de-de/about-us/terms-and-conditions/data-processing-terms/TOMs.html(Neues Fenster öffnen).

Liste der Unterauftragsverarbeiter, abrufbar unter https://www.nuance.com/de-de/about-us/terms-and-conditions/data-processing-terms/sub-processors.html(Neues Fenster öffnen). 

EU-Standardvertragsklauseln (Modul Zwei – Übermittlung von Verantwortlichen an Auftragsverarbeiter), abrufbar unter https://www.nuance.com/de-de/about-us/terms-and-conditions/data-processing-terms/eu-standard-contract-clause-C2P.html(Neues Fenster öffnen)

Britisches Addendum zu internationalen Datenübermittlungen, abrufbar unter https://www.nuance.com/about-us/terms-and-conditions/data-processing-terms/uk-standard-contract-clause.html(Neues Fenster öffnen)

Argentinische Standardvertragsklauseln, abrufbar unter https://www.nuance.com/de-de/about-us/terms-and-conditions/data-processing-terms/ar-standard-contract-clause.html(Neues Fenster öffnen)