Rechtliches

Vereinbarung zur Datenverarbeitung

Version 8 – Datum der Veröffentlichung: 29. Oktober 2025

Diese Vereinbarung über die Datenverarbeitung (dieser „AV-Vertrag„) ist Teil der zugrunde liegenden Dienstleistungsvereinbarung (die „Hauptvereinbarung„) zwischen der Sinch-Entität („Sinch“) und der Kunden-Entität („Kunde“), die eine solche Hauptvereinbarung über die Erbringung von Diensten durch Sinch für den Kunden geschlossen haben, und unterliegt dieser. Dieser AV-Vertrag gilt für Sinch und den Kunden sowie deren jeweilige verbundene Unternehmen. Die Parteien dieses AV-Vertrags sind identisch mit den Parteien des Hauptvertrags.

Definitionen. Für die Zwecke dieses AV-Vertrags haben die großgeschriebenen Begriffe die folgende Bedeutung. Begriffe in Großbuchstaben, die nicht anderweitig definiert sind, haben die ihnen im Hauptvertrag zugewiesene Bedeutung.
1. „Personenbezogene Daten des Kunden“ bezeichnet alle personenbezogenen Daten, die von Sinch im Auftrag des Kunden verarbeitet werden, um die Dienstleistungen im Rahmen des Hauptvertrags zu erbringen.
2. „Geltende Datenschutzgesetze“ bezeichnet die DSGVO in ihrer Umsetzung in das nationale Recht der einzelnen Mitgliedstaaten (und des Vereinigten Königreichs) sowie in der jeweils gültigen, geänderten oder ersetzten Fassung sowie Gesetze, die die DSGVO umsetzen, ersetzen oder ergänzen, und alle Gesetze, die für die Verarbeitung der personenbezogenen Daten des Kunden gelten, einschließlich des California Consumer Privacy Rights Act von 2020, der den California Consumer Privacy Act von 2018 ändert, Cal. Civ. Code § 1798.100 et seq („CCPA„).
3. „DSGVO“ bezeichnet die Datenschutz-Grundverordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr.
4. „Sinch-Infrastruktur“ bezeichnet (i) die physischen Einrichtungen von Sinch; (ii) die gehostete Cloud-Infrastruktur; (iii) das Firmennetzwerk von Sinch und das nicht-öffentliche interne Netzwerk, die Software und die Hardware, die zur Bereitstellung der Dienste erforderlich sind und von Sinch kontrolliert werden; jeweils in dem Umfang, in dem sie zur Bereitstellung der Dienste genutzt werden.
5. „Eingeschränkte Übermittlung“ bezeichnet eine Übermittlung der personenbezogenen Daten des Kunden von Sinch an einen Unterauftragsverarbeiter, wenn eine solche Übermittlung durch die geltenden Datenschutzgesetze (oder durch die Bedingungen von Datenübermittlungsvereinbarungen, die zur Berücksichtigung der Datenübermittlungsbeschränkungen der geltenden Datenschutzgesetze geschlossen wurden) verboten wäre, falls keine angemessenen Schutzmaßnahmen bestehen, die für solche Übermittlungen gemäß den geltenden Datenschutzgesetzen erforderlich sind.
6. „Dienstleistungen“ bezeichnet die Dienstleistungen, die dem Kunden von Sinch gemäß dem Hauptvertrag erbracht werden.
7. „Standardvertragsklauseln“ bezeichnet die neueste Fassung der Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern im Rahmen der DSGVO (die aktuelle Fassung zum Datum dieses AV-Vertrags ist dem Beschluss 2021/914 (EU) der Europäischen Kommission vom 4. Juni 2021 beigefügt).
8. „UK-Addendum“ bezeichnet das Addendum des Vereinigten Königreichs (Addendum zur internationalen Datenübermittlung zu den Standardvertragsklauseln der EU-Kommission), aufgeführt unter https://ico.org.uk/media2/migrated/4019539/international-data-transfer-addendum.pdf
9. Die Begriffe „Einwilligung„, „Verantwortlicher„, „betroffene Person„, „Mitgliedstaat„, „personenbezogene Daten„, „Verletzung des Schutzes personenbezogener Daten„, „Auftragsverarbeiter„, „Unterauftragsverarbeiter“, „Verarbeitung„, „Aufsichtsbehörde“ und „Drittanbieter“ haben die Bedeutungen, die ihnen in Artikel 4 der DSGVO bzw. – in Fällen, in denen der CCPA anwendbar ist – im CCPA zugewiesen werden.

Compliance mit den geltenden Datenschutzgesetzen
1. Sinch und der Kunde halten jeweils die Bestimmungen und Verpflichtungen ein, die ihnen durch die geltenden Datenschutzgesetze auferlegt werden, und sorgen dafür, dass ihre Mitarbeiter und Unterauftragsverarbeiter die Bestimmungen der geltenden Datenschutzgesetze einhalten.

Details und Umfang der Verarbeitung
1. Die Verarbeitung der personenbezogenen Daten des Kunden im Rahmen des Vertrages erfolgt nach Maßgabe der folgenden Bestimmungen und gemäß den geltenden Datenschutzgesetzen. Die Parteien können diese Informationen von Zeit zu Zeit ändern, wenn die Parteien dies nach vernünftigem Ermessen für erforderlich halten, um diese Anforderungen zu erfüllen.
  1. Gegenstand und Dauer der Verarbeitung personenbezogener Daten: Gegenstand und Dauer der Verarbeitung der personenbezogenen Daten sind im Hauptvertrag festgelegt.
  2. Art und Zweck der Verarbeitung personenbezogener Daten: Im Rahmen des Hauptvertrags stellt Sinch dem Kunden bestimmte Dienste wie Messaging, E-Mail, Telefonanrufe und andere Kommunikationsdienste zur Verfügung, wie im Hauptvertrag näher beschrieben, was die Verarbeitung personenbezogener Daten beinhaltet. Vorbehaltlich Abschnitt 3(a)(iv) umfassen diese Verarbeitungstätigkeiten (a) die Bereitstellung der Dienste, (b) die Erkennung, Verhinderung und Lösung von Sicherheits- und technischen Problemen und (c) die Beantwortung von Supportanfragen des Kunden.
  3. Die Arten der zu verarbeitenden personenbezogenen Daten: Die an das Netzwerk von Sinch übermittelten personenbezogenen Daten, deren Umfang ausschließlich vom Verantwortlichen nach eigenem Ermessen bestimmt und kontrolliert wird, können Name, E-Mail, Telefonnummern, IP-Adresse sowie andere personenbezogene Daten umfassen, die in den Kontaktlisten und im Nachrichten- oder Anrufinhalt enthalten sind.
  4. Ausschluss des unabhängigen Datenverantwortlichen: Ungeachtet anderer Bestimmungen in dieser Vereinbarung handelt Sinch bei der Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung von Kommunikationsdiensten als Teil der Dienstleistungen, einschließlich der Übertragung und des Austauschs von SMS über Telekommunikationsnetze und anderer Nachrichten und Mitteilungen, einschließlich E-Mails, Voice und anderer Medien über andere Kommunikationsplattformen, unabhängig davon, ob der Kunde als Verantwortlicher oder als Auftragsverarbeiter handelt, als unabhängiger Datenverantwortlicher und nicht als gemeinsamer Verantwortlicher, um seine Kommunikationsdienste bereitzustellen und seine notwendigen Funktionen und Geschäfte als Anbieter von Kommunikationsdiensten und Mehrwertdiensten (VAS) auszuführen, einschließlich der notwendigen Maßnahmen zur Verhinderung von Spam und Betrug und zur Kontrolle, Sicherheit und Wartung seines Netzwerks, der Verwaltung seiner Geschäfts- und Compliance-Funktionen und im Einklang mit seinen Verpflichtungen gemäß den geltenden Gesetzen.
  5. Die Kategorien der betroffenen Personen, auf die sich die personenbezogenen Daten beziehen: Absender und Empfänger von E-Mail- und SMS-Nachrichten, Telefonanrufen oder anderer Kommunikation.
2. Sinch darf die personenbezogenen Daten des Kunden nur (i) zum Zweck der Erfüllung seiner Verpflichtungen aus dem Hauptvertrag und (ii) in Übereinstimmung mit den in diesem AV-Vertrag beschriebenen dokumentierten Anweisungen oder nach sonstigen gelegentlichen Anweisungen des Kunden verarbeiten. Solche Anweisungen des Kunden sind in der entsprechenden Bestellung, Dienstbeschreibung, in dem Support-Ticket, in sonstiger schriftlicher Kommunikation oder gemäß den Anweisungen des Kunden bei der Nutzung der Dienste (wie etwa über eine API oder ein Control Panel) zu dokumentieren.
3. Wenn Sinch nach billigem Ermessen der Ansicht ist, dass eine Anweisung des Kunden gegen die Bestimmungen der Hauptvereinbarung oder dieses AV-Vertrags verstößt, oder dass sie die DSGVO oder andere geltende Datenschutzbestimmungen verletzt, wird Sinch den Kunden unverzüglich informieren. In beiden Fällen ist Sinch berechtigt, die Ausführung der betreffenden Anweisung aufzuschieben, bis sie vom Kunden geändert wurde oder zwischen dem Kunden und Sinch einvernehmlich abgestimmt ist.
4. Der Kunde ist allein verantwortlich für seine Nutzung und Verwaltung von personenbezogenen Daten, die über die Dienste übermittelt oder übertragen werden, einschließlich: (i) der Überprüfung der Informationen des Empfängers wie Telefonnummer oder Adresse und dass diese korrekt in die Dienste eingegeben werden, (ii) der angemessenen Benachrichtigung jedes Empfängers über die unsichere Natur von E-Mail oder Messaging als Mittel zur Übertragung personenbezogener Daten (falls zutreffend), (iii) der angemessenen Begrenzung der Menge oder Art der über die Dienste offengelegten Informationen, (iv) der Verschlüsselung aller über die Dienste übertragenen personenbezogenen Daten, sofern dies angemessen oder durch geltendes Recht vorgeschrieben ist (z. B. durch die Verwendung verschlüsselter Anhänge, PGP-Toolsets oder S/MIME). Wenn der Kunde beschließt, die obligatorische Verschlüsselung nicht zu konfigurieren, erkennt er an, dass die Dienste die Übertragung unverschlüsselter E-Mails im Klartext über das öffentliche Internet und offene Netzwerke umfassen können. Auf die Dienste hochgeladene Informationen, einschließlich Nachrichteninhalte, werden bei der Verarbeitung durch die Sinch-Infrastruktur in einem verschlüsselten Format gespeichert.

Verantwortlicher und Auftragsverarbeiter
1. Für die Zwecke dieses AV-Vertrags ist der Kunde der Verantwortliche für die personenbezogenen Daten des Kunden und Sinch ist der Auftragsverarbeiter dieser Daten, es sei denn, der Kunde fungiert als Auftragsverarbeiter der personenbezogenen Daten des Kunden; in diesem Fall ist Sinch ein Unterauftragsverarbeiter.
2. Sinch muss jederzeit über einen Beauftragten verfügen, der dafür verantwortlich ist, den Kunden (i) bei der Beantwortung von Anfragen bezüglich der Datenverarbeitung von betroffenen Personen zu unterstützen; und (ii) bei der Erfüllung aller gesetzlichen Informations- und Offenlegungsanforderungen zu unterstützen, die für die Datenverarbeitung gelten und mit ihr verbunden sind. Diese Unterstützung kann angefordert werden unter dpo@sinch.com.
3. Der Kunde garantiert, dass:
  1. die Verarbeitung der personenbezogenen Daten des Kunden auf rechtlichen Grundlagen für die Verarbeitung beruht, wie sie nach den geltenden Datenschutzgesetzen erforderlich sein können, und dass er alle erforderlichen Rechte, Berechtigungen, Registrierungen und Einwilligungen in Übereinstimmung mit und gemäß den Anforderungen der geltenden Datenschutzgesetze in Bezug auf die Verarbeitung der personenbezogenen Daten des Kunden durch Sinch im Rahmen dieses AV-Vertrags und der Hauptvereinbarung während der gesamten Laufzeit der Hauptvereinbarung eingeholt hat und aufrechterhalten wird;
  2. er berechtigt ist und über alle erforderlichen Rechte, Berechtigungen und Einwilligungen verfügt, um die personenbezogenen Daten des Kunden an Sinch zu übermitteln und es Sinch anderweitig zu gestatten, die personenbezogenen Daten des Kunden in seinem Auftrag zu verarbeiten, sodass Sinch die personenbezogenen Daten des Kunden rechtmäßig nutzen, verarbeiten und übermitteln kann, um die Dienste zu erbringen und die sonstigen Rechte und Pflichten von Sinch im Rahmen dieses AV-Vertrags und der Hauptvereinbarung auszuüben bzw. zu erfüllen;
  3. er seine betroffenen Personen über den Einsatz von Auftragsverarbeitern bei der Verarbeitung ihrer personenbezogenen Daten informieren wird, soweit dies nach den geltenden Datenschutzgesetzen erforderlich ist; und
  4. er in angemessener Zeit und im zumutbaren und praktikablen Umfang auf Anfragen von betroffenen Personen bezüglich der Verarbeitung ihrer personenbezogenen Daten reagieren und Sinch rechtzeitig entsprechende Anweisungen erteilen wird.

Vertraulichkeit
1. Sinch stellt sicher, dass alle eigenen Mitarbeiter sowie die der Unterauftragsverarbeiter, die zur Verarbeitung der personenbezogenen Daten des Kunden befugt sind, vertraglichen, beruflichen oder gesetzlichen Vertraulichkeitsverpflichtungen unterliegen und hinsichtlich der relevanten Sicherheits- und Datenschutzanforderungen geschult sind.

Technische und organisatorische Maßnahmen
1. Sinch wird in Bezug auf die personenbezogenen Daten des Kunden (a) angemessene und geeignete Maßnahmen gemäß der Beschreibung in Anhang 2 im Hinblick auf die Sicherheit der Sinch-Infrastruktur und der zur Erbringung der Dienste genutzten Plattformen gemäß Hauptvertrag ergreifen und dokumentieren, und (b) auf angemessene Anfrage auf Kosten des Kunden den Kunden bei der Sicherstellung der Compliance mit den Verpflichtungen des Kunden gemäß den geltenden Datenschutzgesetzen unterstützen.
2. Die internen Betriebsverfahren von Sinch müssen den spezifischen Anforderungen eines effektiven Datenschutzmanagements entsprechen.

Anfragen von betroffenen Personen
1. Sinch stellt spezielle Werkzeuge zur Verfügung, um Kunden bei der Beantwortung von Anfragen betroffener Personen zu unterstützen. Dazu gehören unsere APIs und Schnittstellen zum Durchsuchen von Ereignisdaten und Sperrlisten sowie zum Abrufen von Nachrichteninhalten. Wenn Sinch eine Beschwerde, eine Anfrage oder ein Ersuchen (einschließlich Ersuchen von betroffenen Personen zur Ausübung ihrer Rechte gemäß den anwendbaren Datenschutzgesetzen) in Bezug auf die personenbezogenen Daten des Kunden direkt von betroffenen Personen erhält, wird Sinch den Kunden benachrichtigen. Unter Berücksichtigung der Art der Verarbeitung unterstützt Sinch den Kunden durch geeignete technische und organisatorische Maßnahmen, soweit dies vernünftigerweise möglich ist, bei der Erfüllung der Verpflichtung des Kunden, auf Anfragen zur Ausübung der Rechte solcher betroffener Personen zu reagieren.

Verletzungen des Schutzes personenbezogener Daten
1. Sinch benachrichtigt den Kunden unverzüglich, sobald Sinch Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erhält, die die personenbezogenen Daten des Kunden betrifft. Sinch wird unter Berücksichtigung der Art der Verarbeitung und der Sinch zur Verfügung stehenden Informationen wirtschaftlich angemessene Anstrengungen unternehmen, um dem Kunden ausreichende Informationen zur Verfügung zu stellen, damit der Kunde auf eigene Kosten etwaigen Verpflichtungen zur Meldung oder Information von Aufsichtsbehörden, betroffenen Personen und anderen Entitäten über eine solche Verletzung des Schutzes personenbezogener Daten in dem nach den geltenden Datenschutzgesetzen erforderlichen Umfang nachkommen kann.

Datenschutz-Folgenabschätzungen
1. Sinch leistet dem Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen auf Kosten des Kunden angemessene Unterstützung bei etwaigen Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden oder anderen zuständigen Regulierungsbehörden, sofern dies für den Kunden zur Erfüllung seiner Verpflichtungen gemäß den geltenden Datenschutzgesetzen erforderlich ist.

Audits
1. Sinch stellt dem Kunden auf angemessene Anfrage Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Compliance mit diesem AV-Vertrag nachzuweisen.
2. Der Kunde oder ein beauftragter externer Prüfer kann auf schriftliche begründete Anfrage eine Überprüfung in Bezug auf die Verarbeitung der personenbezogenen Daten des Kunden durch Sinch und in dem nach den Datenschutzgesetzen erforderlichen Umfang durchführen, ohne den Geschäftsbetrieb von Sinch zu unterbrechen und unter Gewährleistung der Vertraulichkeit.
3. Das oben in Absatz 10(b) beschriebene Prüfungsrecht wird für den Kunden anwendbar, falls Sinch keine ausreichenden Nachweise für seine Compliance mit den Bestimmungen dieses AV-Vertrags erbracht hat. Ein ausreichender Nachweis umfasst die Bereitstellung von entweder: (i) einer Zertifizierung über die Compliance mit ISO 27001 oder anderen von Sinch implementierten Standards (Umfang wie im Zertifikat definiert); oder (ii) einem Prüfungs- oder Bestätigungsbericht eines unabhängigen Dritten. Ein Audit, wie es in diesem Absatz 10 beschrieben ist, wird auf Kosten des Kunden durchgeführt und erfordert eine angemessene Vorankündigung durch den Kunden von mindestens dreißig (30) Tagen.

Rückgabe oder Vernichtung der personenbezogenen Daten des Kunden
1. Der Kunde kann durch schriftliche Mitteilung an Sinch spätestens zum Zeitpunkt der Beendigung des Hauptvertrags die Rückgabe und/oder eine Bescheinigung über die Löschung aller Kopien der personenbezogenen Daten des Kunden verlangen, die sich unter der Kontrolle oder im Besitz von Sinch und den Unterauftragsverarbeitern befinden. Sinch stellt eine Kopie der Daten des Kunden in einer Form zur Verfügung, die gelesen und weiterverarbeitet werden kann.
2. Innerhalb von neunzig (90) Tagen nach Beendigung des Kontos löscht Sinch alle gemäß diesem AV-Vertrag verarbeiteten personenbezogenen Daten, es sei denn, der Kunde beantragt die Rückgabe der personenbezogenen Daten wie in Absatz 11 Buchstabe a oben beschrieben. Diese Bestimmung hat keinen Einfluss auf potenzielle gesetzliche Pflichten der Parteien in Bezug auf die Aufbewahrung von Aufzeichnungen für gesetzlich, durch Satzung oder Vertrag festgelegte Aufbewahrungsfristen.
3. Alle zusätzlichen Kosten, die im Zusammenhang mit der Rückgabe personenbezogener Daten nach der Beendigung oder dem Auslaufen des Vertrags entstehen, gehen zu Lasten des Kunden.

Datenübermittlungen
1. Der Kunde nimmt zur Kenntnis und erklärt sich damit einverstanden, dass Sinch im Zusammenhang mit der Erbringung der vertragsgemäßen Dienstleistungen personenbezogene Daten innerhalb ihrer Unternehmensgruppe weitergeben kann. Diese Übermittlungen sind notwendig, um die Dienste weltweit bereitzustellen.
2. Wenn personenbezogene Daten außerhalb des Landes verarbeitet werden, in dem die beauftragte juristische Entität von Sinch ihren Sitz hat, stellt Sinch durch organisatorische, technische und vertragliche Maßnahmen ein angemessenes Schutzniveau für personenbezogene Daten sicher, wie es die geltenden Datenschutzgesetze und dieser AV-Vertrag erfordern.
3. Die Standardvertragsklauseln und, falls erforderlich, das UK-Addendum, in denen Sinch als Datenimporteur und der Kunde als Datenexporteur auftritt, sind Bestandteil dieses AV-Vertrags. Wenn die Vereinbarung von Sinch mit einem Unterauftragsverarbeiter eine eingeschränkte Übermittlung beinhaltet, stellt Sinch sicher, dass die Bestimmungen zur Weiterübermittlung der Standardvertragsklauseln und/oder des UK-Addendums in den Hauptvertrag aufgenommen oder anderweitig zwischen Sinch und dem Unterauftragsverarbeiter vereinbart werden. Der Kunde erklärt sich damit einverstanden, sein Audit-Recht in den Standardvertragsklauseln auszuüben, indem er Sinch anweist, das in Absatz 10 festgelegte Audit durchzuführen.
4. Für Übermittlungen personenbezogener Daten aus der Europäischen Union, dem Europäischen Wirtschaftsraum und/oder deren Mitgliedstaaten, der Schweiz und dem Vereinigten Königreich in Länder, die kein angemessenes Datenschutzniveau im Sinne der Datenschutzgesetze der vorgenannten Gebiete gewährleisten, werden, sofern solche Übermittlungen den Datenschutzgesetzen und -vorschriften unterliegen, und zur Umsetzung angemessener Schutzmaßnahmen die folgenden Schutzmaßnahmen ergriffen: (i) Standardvertragsklauseln gemäß dem Beschluss 2021/914/EU der Europäischen Kommission vom 4. Juni 2021, (2) für Sinch Email das EU-US Data Privacy Framework (EU-US DPF) und die UK Extension to the EU-U.S DPF, wie vom U.S. Department of Commerce festgelegt, (3) UK-Addendum und (4) zusätzliche Schutzmaßnahmen in Bezug auf Sicherheitsmaßnahmen, einschließlich Datenverschlüsselung, Datenaggregation, Trennung von Zugangskontrollen und Datenminimierungsprinzipien.

Unterauftragsverarbeitung
1. Der Kunde erteilt Sinch hiermit eine allgemeine Genehmigung, Unterauftragsverarbeiter gemäß diesem Absatz 13 und Anhang 1 zu benennen. Sinch stellt sicher, dass Unterauftragsverarbeiter an schriftliche Vereinbarungen gebunden sind, die sie verpflichten, mindestens das Datenschutzniveau zu gewährleisten, das von Sinch in diesem AV-Vertrag gefordert wird. Der Kunde erteilt Sinch außerdem die ausdrückliche Genehmigung, die zum Zeitpunkt dieses AV-Vertrags bereits beauftragten Unterauftragsverarbeiter gemäß Abschnitt (b) weiterhin zu nutzen.
2. Die aktuellen Unterauftragsverarbeiter für die Dienste sind aufgeführt unter https://sinch.com/legal/data-protection-agreement-sub-processors/ („Unterauftragsverarbeiter-Liste“). Vorausgesetzt, der Kunde abonniert die Benachrichtigungen über neue Unterauftragsverarbeiter über den Abonnement-Mechanismus, der hier auffindbar ist: https://sinch.com/legal/data-protection-agreement-sub-processors/, wird Sinch den Kunden über diesen Mechanismus dreißig (30) Tage im Voraus über alle beabsichtigten Änderungen bezüglich der Hinzufügung oder des Austauschs eines Unterauftragsverarbeiters benachrichtigen. Wenn der Kunde Sinch innerhalb von zehn (10) Werktagen nach Erhalt dieser Mitteilung schriftlich über berechtigte Einwände gegen die vorgeschlagene Benennung informiert, wird Sinch diesen vorgeschlagenen Unterauftragsverarbeiter nicht benennen, bis angemessene Schritte unternommen wurden, um die vom Kunden vorgebrachten Einwände zu beheben, und dem Kunden eine angemessene schriftliche Erklärung der unternommenen Schritte zur Verfügung gestellt wurde. Wenn Sinch und der Kunde nicht in der Lage sind, die Benennung eines Unterauftragsverarbeiters innerhalb einer angemessenen Frist zu klären, hat jede Partei das Recht, den Hauptvertrag aus wichtigem Grund zu kündigen.
3. Sinch ist für die Handlungen und Unterlassungen jeglicher Unterauftragsverarbeiter in gleichem Maße verantwortlich, wie gegenüber dem Kunden für seine eigenen Handlungen und Unterlassungen in Bezug auf die in diesem AV-Vertrag geregelten Angelegenheiten.

Geltendes Recht und Gerichtsstand
1. Die Parteien dieses AV-Vertrags unterwerfen sich hiermit der im Hauptvertrag festgelegten Rechtswahl für den Gerichtsstand in Bezug auf alle Streitigkeiten oder Ansprüche, die sich aus diesem AV-Vertrag ergeben, einschließlich Streitigkeiten über dessen Bestehen, Gültigkeit oder Beendigung oder die Folgen seiner Nichtigkeit.
2. Dieser AV-Vertrag und alle außervertraglichen oder sonstigen Verpflichtungen, die sich aus oder im Zusammenhang damit ergeben, unterliegen den Gesetzen des Landes oder Gebiets, das zu diesem Zweck im Hauptvertrag festgelegt ist.
3. Ungeachtet des Vorgenannten unter diesem Absatz (a) und (b) unterliegen alle Verpflichtungen, die sich aus oder im Zusammenhang mit den in diesen AV-Vertrag aufgenommenen Standardvertragsklauseln ergeben, dem Recht des in Anhang 1 genannten EU-Mitgliedstaats, wie es für die Gültigkeit dieser Standardvertragsklauseln gemäß dem Beschluss 2021/914/EU der Europäischen Kommission vom 4. Juni 2021 erforderlich ist.

Rangfolge
1. Hinsichtlich des Vertragsgegenstands dieses AV-Vertrags haben im Falle von Widersprüchen zwischen den Bestimmungen dieses AV-Vertrags und anderen Vereinbarungen zwischen den Parteien, einschließlich des Hauptvertrags und einschließlich (sofern nicht ausdrücklich schriftlich, unterzeichnet im Namen der Parteien, anders vereinbart) Vereinbarungen, die nach dem Datum dieses AV-Vertrags geschlossen wurden oder angeblich geschlossen werden sollen, die Bestimmungen dieses AV-Vertrags Vorrang.

Salvatorische Klausel
1. Sollte eine Bestimmung dieses AV-Vertrags ungültig oder nicht durchsetzbar sein, bleibt der Rest dieses AV-Vertrags gültig und in Kraft. Die ungültige oder nicht durchsetzbare Bestimmung wird entweder (i) so weit wie nötig geändert, um ihre Gültigkeit und Durchsetzbarkeit zu gewährleisten, wobei die Absichten der Parteien so weit wie möglich gewahrt bleiben, oder, wenn dies nicht möglich ist, (ii) so ausgelegt, als ob der ungültige oder nicht durchsetzbare Teil nie darin enthalten gewesen wäre.

Beendigung
1. Dieser AV-Vertrag und die Standardvertragsklauseln enden gleichzeitig und automatisch mit der Beendigung des Hauptvertrags.

ANHANG 1

STANDARDVERTRAGSKLAUSELN

In Bezug auf die Standardvertragsklauseln vereinbaren die Parteien Folgendes:

Modul 2 (Verantwortlicher-zu-Auftragsverarbeiter) findet Anwendung, wenn Sinch als Datenverarbeiter des Kunden handelt; Modul 3 (Auftragsverarbeiter-zu-Auftragsverarbeiter) findet Anwendung, wenn Sinch als Unterauftragsverarbeiter des Kunden handelt. Für jedes Modul, falls zutreffend:
Klausel 7 (Kopplungsklausel) ist aufgenommen;
Für die Zwecke von Klausel 9.a) (Einsatz von Unterauftragsverarbeitern) gilt Option 2: Allgemeine schriftliche Genehmigung. Der Datenimporteur besitzt die allgemeine Genehmigung des Datenexporteurs für die Beauftragung von Unterauftragsverarbeitern, die in einer vereinbarten Liste aufgeführt sind. Der Datenimporteur informiert den Datenexporteur mindestens dreißig (30) Tage im Voraus spezifisch schriftlich über alle beabsichtigten Änderungen dieser Liste durch das Hinzufügen oder Ersetzen von Unterauftragsverarbeitern;
Die fakultative Formulierung in Klausel 11 (Rechtsbehelfe) zu unabhängigen Streitbeilegungsgremien ist nicht aufgenommen;
Für die Zwecke von Klausel 13 (Aufsicht) fungiert IMY, die schwedische Datenschutzbehörde (Integritetsskyddsmyndigheten), als zuständige Aufsichtsbehörde;
Option 1 von Klausel 17 (Anwendbares Recht) findet Anwendung, und die Standardvertragsklauseln unterliegen dem schwedischen Recht;
Für die Zwecke von Klausel 18 (Wahl des Gerichtsstands und der Gerichtsbarkeit) werden die schwedischen Gerichte alle Streitigkeiten beilegen, die sich aus den Standardvertragsklauseln ergeben;
Anhang IA (Liste der Parteien) und Anhang IB (Beschreibung der Übermittlung) sind unter Verwendung der im Hauptvertrag angegebenen und in Absatz 3 des AV-Vertrags aufgeführten Informationen und Details auszufüllen;
Anhang IB (Beschreibung der Übermittlung) wird weiter ausgefüllt, indem festgelegt wird, dass keine sensiblen Daten übermittelt werden. Die Häufigkeit der Übermittlung muss kontinuierlich sein. Für Übermittlungen an Unterauftragsverarbeiter sind Gegenstand, Art und Dauer der Verarbeitung dieselben wie die des Datenimporteurs;
Für die Zwecke von Anhang IC ist die zuständige Aufsichtsbehörde gemäß Klausel 13 IMY, die schwedische Datenschutzbehörde (Integritetsskyddsmyndigheten);
Für die Zwecke von Anhang II sind die technischen und organisatorischen Maßnahmen in Anhang 2 des AV-Vertrags beschrieben;
Für die Zwecke von Anhang III wird in Klausel 13 des AV-Vertrags auf die Liste der Unterauftragsverarbeiter verwiesen;
sofern die eingeschränkte Übermittlung der Vorschrift unterliegt, da sie Teil des Rechts von England und Wales, Schottland und Nordirland ist (UK DSGVO), werden die Standardvertragsklauseln das wie folgt ausgefüllte UK-Addendum umfassen:
1. Für die Zwecke von Tabelle 1 ist das Startdatum das Datum der Unterzeichnung des AV-Vertrags und die Details der Parteien sind unter Verwendung der im Hauptvertrag festgelegten Informationen und Details auszufüllen;
2. Für die Zwecke von Tabelle 2 ist die Version der genehmigten EU-Standardvertragsklauseln (SCCs), der das UK-Addendum beigefügt ist, die gemäß diesem Anhang 1 ausgefüllten Standardvertragsklauseln, wobei das Datum das Datum des Inkrafttretens dieses Addendums ist;
3. Für die Zwecke von Tabelle 3 sind die Anhangsinformationen wie in den Absätzen (h) – (l) dieses Anhangs 1 beschrieben; und,
4. Für die Zwecke von Tabelle 4 kann die als Importeur agierende Sinch-Entität das UK-Addendum beenden, wenn sich das genehmigte Addendum ändert.

ANHANG 2

INFORMATIONSSICHERHEIT – TECHNISCHE UND ORGANISATORISCHE MAßNAHMEN

Die in diesem Anhang enthaltenen technischen und organisatorischen Maßnahmen sind Maßnahmen, die auf die von Sinch angebotenen Dienste anwendbar sind. Falls erforderlich, kann Sinch für den Dienst weitere technische und organisatorische Maßnahmen in den Dienstauftrag oder den Dienst aufnehmen.

1) Inventar der Informationen und anderer zugehöriger Vermögenswerte   

Es wird ein Inventar der Informationen und anderer zugehöriger Vermögenswerte, einschließlich der Eigentümer, erstellt und gepflegt.  Für jeden Vermögenswert im Inventar wurde gemäß der Richtlinie zur Kennzeichnung von Vermögenswerten ein Eigentümer benannt.  

2) Authentifizierungsinformationen 

Die Zuweisung und Verwaltung von Authentifizierungsinformationen wird durch einen Managementprozess gesteuert, der auch die Beratung des Personals über den angemessenen Umgang mit Authentifizierungsinformationen umfasst.    

Insbesondere:  

Die zulässigen Zeichen, die verwendet werden können, nicht einschränken. 
Passwort-Mindestlänge von 12 Zeichen mit erzwungener Komplexität
Geheime Fragen nicht als einzige Anforderung zum Zurücksetzen von Passwörtern verwenden    
E-Mail-Verifizierung einer Passwortänderungsanfrage verlangen   
Bei der Passwortänderung zusätzlich zum neuen Passwort das aktuelle Passwort verlangen 
Neu erstellte Passwörter gegen Listen gängiger Passwörter oder Datenbanken geleakter Passwörter prüfen  
Bestehende Nutzerpasswörter regelmäßig auf Kompromittierung prüfen    
Gespeicherte Geheimnisse müssen gesalzen und mit einer geeigneten Einweg-Schlüsselableitungsfunktion gehasht werden.      
Angemessene Kontosperrung und Brute-Force-Schutz für den Kontozugriff erzwingen – maximal 5 fehlgeschlagene Anmeldungen, dann Sperre für 30 Minuten    
Das letzte Passwort darf nicht wiederverwendet werden    
MFA & SSO sollten in allen Anwendungsfällen verwendet werden

3) Zugriffsrechte  

Zugriffsrechte auf Informationen und andere zugehörige Vermögenswerte werden in Übereinstimmung mit der themenspezifischen Richtlinie und den Regeln der Organisation für die Zugriffskontrolle bereitgestellt, überprüft, geändert und entfernt.  

Insbesondere:

Zugriffsrechte auf Büros, Informationen und Systeme werden vierteljährlich überprüft.

4) IKT-Bereitschaft für Business Continuity    

Die IKT-Bereitschaft wird auf der Grundlage von Geschäftskontinuitätszielen und Anforderungen an die IKT-Kontinuität geplant, implementiert, gewartet und getestet.   

Insbesondere:

Alle Geschäftsbereiche verfügen über einen oder mehrere Disaster-Recovery-Pläne, die speziell auf das Produktangebot abgestimmt sind.    
Die Disaster-Recovery-Pläne werden jährlich getestet.

5) Sensibilisierung, Aufklärung und Schulung zur Informationssicherheit 

Das Personal der Organisation und relevante interessierte Parteien erhalten eine angemessene Sensibilisierung für die Informationssicherheit, Aufklärung und Schulung sowie regelmäßige Aktualisierungen der Informationssicherheitsrichtlinie der Organisation, themenspezifischer Richtlinien und Verfahren, die für ihre jeweilige Jobfunktion relevant sind. 

Insbesondere:

Von allen Mitarbeitern innerhalb von 2 Wochen nach Startdatum abgeschlossen  
Alle Mitarbeiter haben in den letzten 12 Monaten eine ISA-Schulung absolviert  
Der Inhalt der ISA-Schulung wird alle 12 Monate aktualisiert

6) Kapazitätsmanagement   

Die Nutzung von Ressourcen wird überwacht und in Übereinstimmung mit aktuellen und erwarteten Kapazitätsanforderungen angepasst.   

7) Schutz vor Malware   

Der Schutz vor Malware ist implementiert und wird durch eine angemessene Sensibilisierung der Nutzer unterstützt.  Alle Endpunkt-Geräte sollten über EDR/XDR-Endpunkt-Erkennung verfügen.

8) Management technischer Schwachstellen 

Es werden Informationen über technische Schwachstellen der verwendeten Informationssysteme eingeholt, die Gefährdung von Sinch durch solche Schwachstellen wird bewertet und es werden geeignete Maßnahmen ergriffen.   

Insbesondere:

Schwachstellen-Scan alle 7 Tage.    
Anwendung von Sicherheits-Patches auf alle Komponenten des Anwendungsstapels mit einem Schweregrad höher als „Mittel“, wie vom Herausgeber des Patches festgelegt, innerhalb eines Monats (30 Tage) nach der Veröffentlichung
Manueller Blackbox-Pentest, der alle 12 Monate durchgeführt wird

9) Konfigurationsmanagement  

Konfigurationen, einschließlich Sicherheitskonfigurationen, von Hardware, Software, Diensten und Netzwerken werden festgelegt, dokumentiert, implementiert, überwacht und anhand der folgenden Standards überprüft: NIST 800-53 und CIS Controls.

10)  Informationssicherung     

Sicherungskopien von Informationen, Software und Systemen werden in Übereinstimmung mit der vereinbarten themenspezifischen Richtlinie für Backups aufrechterhalten und regelmäßig getestet.  

Die Sicherungsroutine gibt mindestens an:     

Sicherungsintervalle (mindestens wöchentlich)    
Aufbewahrungsanforderungen    
Speicherort für die Sicherung     
Umfang der Sicherung (z. B. Daten, Konfigurationen, vollständige Systemsicherung)    
Sicherungsstrategie (z. B. online versus offline, Anzahl der Backups, Verhältnis zwischen vollständiger und inkrementeller Sicherung)    
Tests zur Wiederherstellung von Backups müssen für geschäftskritische Systeme mindestens vierteljährlich und für alle anderen mindestens einmal jährlich durchgeführt werden.

11) Überwachungsaktivitäten 

Netzwerke, Systeme und Anwendungen werden auf anomales Verhalten überwacht, und es werden angemessene Aktionen ergriffen, um potenzielle Vorfälle in der Informationssicherheit zu bewerten.  Netzwerke, Systeme und Anwendungen werden auf anomales und bösartiges Verhalten überwacht, um potenzielle Sicherheitsvorfälle zu erkennen.     

12) Netzwerksicherheit 

Netzwerke und Netzwerkgeräte werden gesichert, verwaltet und kontrolliert, um Informationen in Systemen und Anwendungen zu schützen. 

Zum Beispiel:

Daten im Ruhezustand auf Servern, Anwendungen und Datenbanken verschlüsseln (mindestens AES256). Daten bei der Übertragung verschlüsseln (TLS 1.2 oder höher).   
Angemessene Protokollierung und Überwachung, um die Aufzeichnung und Erkennung von Aktionen zu ermöglichen, die sich auf die Informationssicherheit auswirken können oder für diese relevant sind, einschließlich EDR/XDR    
Der Product Owner muss eine aktuelle Dokumentation führen, einschließlich Netzwerkdiagrammen und Konfigurationsdateien von Geräten (z. B. Router, Switches).    
Härtung von Netzwerkgeräten
Netzwerkverwaltungs-Kanäle sind vom übrigen Netzwerkverkehr getrennt

13) System-Lebenszyklus-Management 

Es werden Regeln für die sichere Entwicklung von Software und Systemen aufgestellt und angewendet.  

Zum Beispiel bei Sinch:

Das System ist auf sichere Weise konzipiert, wobei je nach Bedarf Bedrohungsmodellierung eingesetzt wird.     
Es gibt einen Plan zur Wartung des Systems in Übereinstimmung mit der Kontrolle des Schwachstellenmanagements 
Es gibt einen Eigentümer des Systems    
Es gibt einen Plan zum Ersetzen des Systems (Zero-Legacy-Richtlinie)

14) Sicherheitstests in Entwicklung und Abnahme 

Sicherheitstestprozesse werden im Entwicklungslebenszyklus definiert und implementiert.  

SAST- sowie Schwachstellen- und Geheimnis-Erkennungs-Scans in CICD-Pipelines. Falls möglich DAST    
Kritische oder schwerwiegende Schwachstellen werden behoben, bevor sie für Kunden verfügbar sind    
Netzwerkinfrastruktur sicher verwalten.  
Alle Projekte befolgen die Sicherheitschecklisten für die Produktfreigabe

15) Maßnahmen zur Gewährleistung der physischen Sicherheit von Standorten, an denen personenbezogene Daten verarbeitet werden 

Physische und umgebungsbedingte Sicherheitsmaßnahmen wurden innerhalb von Sinch implementiert.

Zum Beispiel bei Sinch:

Sicherheitszonen sind definiert und werden genutzt, um Bereiche zu schützen, die Informationen und andere zugehörige Vermögenswerte enthalten.
Sichere Bereiche werden durch geeignete Zugangskontrollen und Zugangspunkte geschützt.
Die physische Sicherheit für Büros, Räume und Einrichtungen ist konzipiert und umgesetzt.
Die Räumlichkeiten werden kontinuierlich auf unbefugten physischen Zugang überwacht.
Schutzmaßnahmen gegen physische und umgebungsbedingte Bedrohungen wie Naturkatastrophen und andere beabsichtigte oder unbeabsichtigte physische Bedrohungen der Infrastruktur sind konzipiert und implementiert.
Sicherheitsmaßnahmen für die Arbeit in sicheren Bereichen sind konzipiert und implementiert.
Clear-Desk-Regeln für Papiere und Wechselspeichermedien sowie Clear-Screen-Regeln für Informationsverarbeitungsanlagen sind definiert und werden angemessen durchgesetzt.
Geräte sind sicher aufgestellt und geschützt.
Ausgelagerte Vermögenswerte sind geschützt.
Speichermedien werden über ihren gesamten Lebenszyklus aus Anschaffung, Nutzung, Transport und Entsorgung gemäß dem Klassifizierungsschema und den Handhabungsanforderungen der Organisation verwaltet.
Informationsverarbeitungsanlagen sind vor Stromausfällen und anderen Störungen geschützt, die durch Ausfälle bei unterstützenden Versorgungseinrichtungen verursacht werden.
Kabel, die Strom, Daten oder unterstützende Informationsdienste übertragen, sind vor Abhören, Störungen oder Beschädigungen geschützt.
Geräte werden korrekt gewartet, um die Verfügbarkeit, Integrität und Vertraulichkeit von Informationen zu gewährleisten.
Geräte, die Speichermedien enthalten, werden überprüft, um sicherzustellen, dass alle sensiblen Daten und lizenzierte Software vor der Entsorgung oder Wiederverwendung entfernt oder sicher überschrieben wurden.

Sinch wendet außerdem ein Informationssicherheitsmanagementsystem (ISMS) gemäß ISO/IEC 27001:2022 an.

16) Maßnahmen zur Gewährleistung einer begrenzten Datenaufbewahrung  

Maßnahmen zur Gewährleistung einer begrenzten Aufbewahrung personenbezogener Daten wurden implementiert.

Zum Beispiel, Sinch:

Hat eine Datenaufbewahrungsrichtlinie etabliert, die klar definiert, welche spezifischen Arten von Daten erfasst werden, wie lange sie aufbewahrt werden und wann sie gelöscht werden.
Automatisierte Löschprozesse implementiert. 
Überprüft und aktualisiert regelmäßig die Aufbewahrungsrichtlinie.
Beschränkt die Datenerfassung auf das, was für den spezifischen Geschäftszweck erforderlich ist.
Schult Mitarbeiter in der Datenaufbewahrung.
Überprüft und überwacht regelmäßig die Datenaufbewahrung
Verwendet Verschlüsselung zum Schutz von aufbewahrten Daten, um das Risiko eines unbefugten Zugriffs oder einer Offenlegung zu verringern.

17) Maßnahmen zur Gewährleistung der Rechenschaftspflicht 

Geeignete technische und organisatorische Maßnahmen wurden implementiert, um die Anforderungen an die Rechenschaftspflicht zu erfüllen.

Zum Beispiel Sinch:  

Hat Datenschutzrichtlinien angenommen und implementiert.
Hat einen Ansatz des „Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“ verfolgt.  
Hat schriftliche Verträge mit Organisationen geschlossen, die im Auftrag von Sinch personenbezogene Daten verarbeiten.
Hat seine Verarbeitungstätigkeiten dokumentiert.
Hat Datenschutz-Folgenabschätzungen durchgeführt.
Hat einen Konzern-DPO ernannt

18) Maßnahmen zur Ermöglichung der Datenübertragbarkeit und Gewährleistung der Löschung  

Maßnahmen, die die Ausübung der Rechte der betroffenen Person ermöglichen, sind innerhalb von Sinch implementiert.

Zum Beispiel, Sinch:

Löscht bei Bedarf personenbezogene Daten aus Backup-Systemen sowie aus Live-Systemen und teilt der Person klar mit, was mit ihren Daten geschieht.
Kontaktiert jeden Empfänger, um ihn über die Löschung zu informieren, falls personenbezogene Daten an Dritte weitergegeben wurden, es sei denn, dies ist unmöglich oder mit einem unverhältnismäßigen Aufwand verbunden. Wenn personenbezogene Daten in einer Online-Umgebung veröffentlicht wurden, ergreift die Organisation angemessene Maßnahmen, um andere Datenverantwortliche zu informieren, sofern diese sie verarbeiten, Links zu diesen Daten, Kopien oder Replikationen dieser Daten zu löschen.
Informiert die betroffene Person auf Anfrage jederzeit darüber, welche Dritten die personenbezogenen Daten erhalten haben.
Stellt personenbezogene Daten auf Anfrage in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung. Wo dies möglich ist und eine Person dies wünscht, kann die Organisation die Informationen direkt an eine andere Organisation übermitteln.

19) Maßnahmen zur Gewährleistung der Datenminimierung 

Maßnahmen zur Minimierung der Menge der verarbeiteten Daten sind implementiert.

Zum Beispiel Sinch bei jeder Verarbeitungsaktivität:

Hat Maßnahmen implementiert, die sicherstellen, dass die Erhebung personenbezogener Daten angemessen, relevant und strikt auf das beschränkt ist, was in Bezug auf die Zwecke, für die sie verarbeitet werden, erforderlich ist.
Hat bewertet, dass sie die Zwecke ihrer Verarbeitungstätigkeit nicht mit weniger in den Datenschutz eingreifenden Daten (z. B. durch Arbeit mit weniger granularen Daten) oder eingreifenden Prozessen (d. h. Verwendung weniger eingreifender Mittel) erreichen kann.
Hat die Anforderung für jedes Datenfeld in Bezug auf den Zweck dokumentiert.

ANHANG 3

ABWEICHUNGEN

Abweichungen.
1. Für Kunden und Verträge in Brasilien werden zusätzlich zu den in diesem AV-Vertrag vereinbarten Verpflichtungen die folgenden Formulierungen und Richtlinien übernommen:
  1. Die nachstehend hervorgehobenen Definitionen ersetzen die in diesem AV-Vertrag verwendeten Definitionen:
    1. „Besondere Kategorien personenbezogener Daten“ sind sensible personenbezogene Daten: Dies bedeutet Daten über die rassische oder ethnische Herkunft, religiöse Überzeugungen, politische Meinungen, die Mitgliedschaft in einer Gewerkschaft oder in religiösen, philosophischen oder politischen Organisationen, Daten über die Gesundheit oder das Sexualleben einer natürlichen Person, genetische oder biometrische Daten, sofern sie sich auf eine natürliche Person beziehen.
    2. „Geltende Datenschutzgesetze“ bezeichnet das brasilianische Allgemeine Datenschutzgesetz (Gesetz Nr. 13.709/2018) („LGPD“) und die DSGVO, wie sie in die nationale Gesetzgebung der einzelnen Mitgliedstaaten (und des Vereinigten Königreichs) umgesetzt wurde und in der jeweils gültigen, geänderten oder ersetzten Fassung, sowie Gesetze, die die DSGVO umsetzen, ersetzen oder ergänzen, und alle Gesetze, die auf die Verarbeitung der personenbezogenen Daten des Kunden anwendbar sind, einschließlich des California Consumer Privacy Act von 2018, Cal. Civ. Code § 1798.100 et seq („CCPA“).
    3. „Datenverarbeitung“ bezeichnet jeden Vorgang im Zusammenhang mit personenbezogenen Daten, wie z. B. Vorgänge, die sich auf das Erheben, das Erstellen, den Empfang, die Klassifizierung, die Nutzung, den Zugriff, die Reproduktion, die Übertragung, die Verteilung, die Verarbeitung, die Archivierung, die Speicherung, die Löschung, die Bewertung oder Kontrolle von Informationen, die Änderung, die Kommunikation, die Übermittlung, die Verbreitung oder die Extraktion beziehen.
    4. Die Begriffe „Einwilligung,“ „Auftragsverarbeiter,“ „Datenverantwortlicher,“ „betroffene Person,“ „personenbezogene Daten,“ „Verarbeitung,“ und „nationale Behörde“ haben die Bedeutung, die ihnen in der LGPD zugewiesen wird. In Ermangelung einer spezifischen Definition in der LGPD wird die in Artikel 4 der DSGVO enthaltene Definition für die folgenden Begriffe übernommen: „Drittanbieter“, „Verletzung des Schutzes personenbezogener Daten“, „Unterauftragsverarbeiter“ und „Aufsichtsbehörde(n)“ (oder „Kontrollbehörde“).
  2. Abschnitt 3(b) erhält folgenden Wortlaut:
    Sinch darf die personenbezogenen Daten des Kunden nur zu folgenden Zwecken verarbeiten: (i) zur Erfüllung seiner Verpflichtungen aus dem Hauptvertrag; (ii) zur regelmäßigen Ausübung von Rechten, einschließlich vertraglicher Rechte und solcher in gerichtlichen, administrativen und schiedsgerichtlichen Verfahren; (iii) zur Gewährleistung der Prävention von Betrug und der Sicherheit der betroffenen Person; und (iv) in Übereinstimmung mit den in diesem AV-Vertrag beschriebenen dokumentierten Anweisungen oder nach sonstigen gelegentlichen Anweisungen des Kunden. Solche Anweisungen des Kunden sind in der entsprechenden Bestellung, Dienstbeschreibung, in dem Support-Ticket, in sonstiger schriftlicher Kommunikation oder gemäß den Anweisungen des Kunden bei der Nutzung der Dienste (wie etwa über eine API oder ein Control Panel) zu dokumentieren.
  3. Die in Klausel 13(b) enthaltenen Bestimmungen finden keine Anwendung.
  4. Abschnitt 6(b) erhält folgenden Wortlaut:
    Die internen Betriebsverfahren beider Parteien müssen den spezifischen Anforderungen eines effektiven Datenschutzmanagements und der Informationssicherheit entsprechen, einschließlich, aber nicht beschränkt auf Zugangsverwaltung, Betrugsprävention und unrechtmäßige Nutzung der Dienste von Sinch.
2. Für Kunden und Verträge in Kolumbien gilt in Bezug auf die Definition des Begriffs „Geltende Datenschutzgesetze“ sowie die Verarbeitung und Übermittlung personenbezogener Daten zusätzlich zu den in diesem AV-Vertrag getroffenen Vereinbarungen Folgendes:
  1. „Anwendbare Datenschutzgesetze“ bezeichnet das kolumbianische Gesetz 1581 aus dem Jahr 2012 und das Regulierungsdekret 1377 aus dem Jahr 2013 sowie andere Verordnungen, die die vorgenannten Gesetze ändern, ersetzen oder ergänzen, sowie die DSGVO, wie sie in die innerstaatliche Gesetzgebung jedes Mitgliedstaats (und des Vereinigten Königreichs) umgesetzt und von Zeit zu Zeit geändert, ersetzt oder ersetzt wird, und Gesetze, die die DSGVO umsetzen, ersetzen oder ergänzen, sowie alle Gesetze, die auf die Verarbeitung der personenbezogenen Daten des Kunden anwendbar sind, einschließlich des California Consumer Privacy Act von 2018, Cal. Civ. Code § 1798.100 et seq („CCPA“).
  2. „Der Verantwortliche nimmt zur Kenntnis, dass der Auftragsverarbeiter personenbezogene Daten in Gebiete außerhalb Kolumbiens übermitteln, speichern und verarbeiten kann, wo sie den Gesetzen der ausländischen Rechtsordnungen unterliegen, in denen sie gespeichert werden. Der Verantwortliche bestätigt, dass er über alle erforderlichen vorherigen Genehmigungen der betroffenen Personen und Datenbankeinträge verfügt, die es dem Auftragsverarbeiter erlauben, die Daten in Datenbanken und in Ländern zu verarbeiten, die mindestens die gleichen Datenschutzstandards (angemessenes Schutzniveau) erfüllen, wie sie in den kolumbianischen Gesetzen (wie unter anderem dem Gesetz 1581 von 2012, dem Regulierungsdekret 1377 von 2013, dem Dekret Nr. 90 von 2018, dem einzigen Rundschreiben der Aufsichtsbehörde für Industrie und Handel und dem externen Rundschreiben Nr. 005 von 2017 der Aufsichtsbehörde für Industrie und Handel und anderen Vorschriften, die die Vorgenannten ändern, ersetzen oder ergänzen) vorgesehen sind).“
3. Für Kunden und Verträge in Argentinien gilt in Bezug auf die Verarbeitung und Übermittlung personenbezogener Daten zusätzlich zu den in diesem AV-Vertrag getroffenen Vereinbarungen Folgendes: Der Kunde bestätigt, dass er über alle erforderlichen vorherigen Genehmigungen der betroffenen Personen für die Verarbeitung und Übermittlung personenbezogener Daten, einschließlich sensibler Daten, falls zutreffend, an SINCH verfügt. Die Parteien erkennen an und stimmen zu, dass die Verarbeitung personenbezogener Daten in Übereinstimmung mit dem Gesetz Nr. 25.326 („Gesetz zum Schutz personenbezogener Daten der Republik Argentinien“) und den von der Agentur für den Zugang zu öffentlichen Informationen erlassenen Bestimmungen und Beschlüssen erfolgt. Die Übermittlung personenbezogener Daten an Länder oder internationale oder supranationale Organisationen erfolgt nur an Empfänger, die ein angemessenes Schutzniveau gewährleisten.
4. Für Kunden und Verträge in Uruguay gilt in Bezug auf die Verarbeitung und Übermittlung personenbezogener Daten zusätzlich zu dem, was in diesem AV-Vertrag vereinbart ist, Folgendes:
  1. Der Verantwortliche bestätigt, dass er über alle erforderlichen vorherigen Genehmigungen der betroffenen Personen und Datenbankeinträge verfügt, die es Sinch erlauben, personenbezogene Daten zu verarbeiten und sie in Länder zu übertragen und/oder zu übermitteln, die mindestens den gleichen Standard für den Schutz personenbezogener Daten (angemessenes Schutzniveau) erfüllen, wie in den uruguayischen Gesetzen vorgesehen, wie z. B., aber nicht beschränkt auf, Gesetz Nr. 18.331, Regulierungsdekret Nr. 414/009 und Gesetz Nr. 19.670 und andere Vorschriften, die die vorgenannten ändern, ersetzen oder ergänzen.
  2. Die in Klausel 13(b) enthaltenen Bestimmungen finden keine Anwendung.
5. Für Kunden und Verträge in Mexiko ersetzen, zusätzlich zu dem in diesem AV-Vertrag Vereinbarten, die nachstehend hervorgehobenen Definitionen die in diesem AV-Vertrag verwendeten Definitionen:
  „Geltende Datenschutzgesetze“ bezeichnet das mexikanische Bundesgesetz zum Schutz personenbezogener Daten im Besitz von Privatpersonen („LFPDPPP“) und andere Vorschriften, die das Vorstehende ändern, ersetzen oder ergänzen, sowie die DSGVO in ihrer Umsetzung in die nationale Gesetzgebung der einzelnen Mitgliedstaaten (und des Vereinigten Königreichs) in ihrer jeweils gültigen, geänderten oder ersetzten Fassung sowie Gesetze, die die DSGVO umsetzen, ersetzen oder ergänzen, und alle Gesetze, die für die Verarbeitung der personenbezogenen Daten des Kunden gelten, einschließlich des California Consumer Privacy Act von 2018, Cal. Civ. Code § 1798.100 et seq („CCPA“).