Zuletzt aktualisiert: 15. September 2026. Diese Version ersetzt die zuletzt am 31. Juli 2026 aktualisierte Version.

Dieser Nachtrag zur Datenverarbeitung (“DPA”) ist eine Vereinbarung zwischen Ihnen und der juristischen Person, die Sie vertreten (“Kunde”, “Sie” oder “Ihr”), und Mapsly LLC (“MAPSLY”). Dieser DPA ergänzt die MAPSLY-Nutzungsbedingungen, verfügbar unter, https://mapsly.com/terms, wie von Zeit zu Zeit zwischen dem Kunden und MAPSLY aktualisiert, oder andere Vereinbarungen zwischen dem Kunden und MAPSLY, die die Nutzung der MAPSLY Services durch den Kunden regeln (die „Vereinbarung“). „Kunde“ bezieht sich auf die juristische Person, die gemäß den MAPSLY-Nutzungsbedingungen als „Nutzer“ definiert ist. Diese DPA gilt, soweit MAPSLY Kundendaten im Auftrag des Kunden bei der Bereitstellung der Services verarbeitet.

Definitionen. Alle in dieser DPA verwendeten großgeschriebenen Begriffe haben die ihnen unten zugewiesenen Bedeutungen, sofern sie in der Vereinbarung nicht anders definiert sind:

API bedeutet eine Programmierschnittstelle.

Anwendbares Datenschutzrecht bezeichnet sämtliche Gesetze und Vorschriften, die für die Verarbeitung von Kundendaten durch eine Partei gelten und für diese verbindlich sind, einschließlich, soweit anwendbar, der GDPR, der UK GDPR und des UK Data Protection Act 2018, des Schweizer Bundesgesetzes über den Datenschutz (“FADP”), und der geltenden Datenschutzgesetze auf Bundes- und Staatsebene der Vereinigten Staaten (einschließlich des California Consumer Privacy Act in der jeweils geänderten Fassung).

Verbindliche Unternehmensregeln hat die Bedeutung, die ihm in der DSGVO gegeben wird.

Controller hat die Bedeutung, die ihm in der DSGVO gegeben wird.

Klauseln zwischen Verantwortlichem und Auftragsverarbeiter bezeichnet die Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern für Datenübermittlungen, wie durch den Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission vom 4. Juni 2021 genehmigt.

Kundendaten bezeichnet die personenbezogenen Daten, die unter den MAPSLY-Konten des Kunden in die Dienste hochgeladen oder innerhalb der Dienste generiert werden, ausgenommen das in Abschnitt 1.5. beschriebene Endbenutzerkonto und die dort beschriebenen Nutzungsinformationen.

“Datenschutzrahmen” oder “DPF” bezeichnet, zusammen, den EU-U.S. Data Privacy Framework, die UK Extension to the EU-U.S. Data Privacy Framework, und den Swiss-U.S. Data Privacy Framework, wie vom U.S. Department of Commerce verwaltet.

Dokumentation bezeichnet die jeweils aktuelle Dokumentation für die Dienste unter, https://help.mapsly.com (und alle von MAPSLY bestimmten Nachfolgestandorte).

EEA bezeichnet den Europäischen Wirtschaftsraum.

Endbenutzer bezeichnet Nutzer des Mapsly-Kontos des Kunden, einschließlich der Mitarbeiter und Auftragnehmer des Kunden, die vom Kunden zur Nutzung von Mapsly zugewiesen wurden.

GDPR bezeichnet die Verordnung 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung).

MAPSLY Netzwerk bezeichnet die Server, Netzwerkausrüstung und Host-Softwaresysteme (zum Beispiel virtuelle Firewalls), die der Kontrolle von MAPSLY unterliegen und zur Bereitstellung der Dienste verwendet werden.

MAPSLY-Einrichtungskonsole bezeichnet den Setup-Bereich im Mapsly Service, der unter “Setup” im Hauptmenü verfügbar ist.

Personenbezogene Daten bezeichnet personenbezogene Daten, persönliche Informationen, persönlich identifizierbare Informationen oder einen anderen gleichwertigen Begriff (jeweils wie im anwendbaren Datenschutzrecht definiert).

Wird verarbeitet hat die ihr in der DSGVO zugewiesene Bedeutung und „verarbeiten“, „verarbeitet“ und „Verarbeitung“ werden entsprechend ausgelegt.

Prozessor hat die Bedeutung, die ihm in der DSGVO gegeben wird.

Klauseln von Auftragsverarbeiter zu Auftragsverarbeiter bezeichnet die Standardvertragsklauseln zwischen Auftragsverarbeitern für Datenübermittlungen, wie durch den Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission vom 4. Juni 2021 genehmigt.

Sicherheitsvorfall bedeutet eine Verletzung der Sicherheit von MAPSLY, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Änderung, zur unbefugten Offenlegung von Kundendaten oder zum unbefugten Zugriff auf Kundendaten führt.

Servicesteuerungen bezeichnet die Kontrollen, einschließlich Sicherheitsfunktionen und Funktionalitäten, die die Dienste bereitstellen, wie in der Dokumentation beschrieben.

Standardvertragsklauseln bezeichnet (i) die Klauseln für Verantwortlicher-zu-Auftragsverarbeiter, oder (ii) die Klauseln für Auftragsverarbeiter-zu-Auftragsverarbeiter, soweit gemäß den Abschnitten 9.2.1 und 9.2.2 anwendbar, ergänzt, sofern anwendbar, durch den UK Addendum (für Datenübermittlungen, die der UK GDPR unterliegen) und durch die in Abschnitt 9.2.4 beschriebenen Schweizer Anpassungen (für Datenübermittlungen, die dem FADP unterliegen).,

Drittland bezeichnet ein Land außerhalb des EWR, des Vereinigten Königreichs, oder der Schweiz, das von der Europäischen Kommission (oder, soweit anwendbar, von den zuständigen Behörden des Vereinigten Königreichs oder der Schweiz) nicht als Land anerkannt wird, das ein angemessenes Schutzniveau für personenbezogene Daten bietet (wie in der GDPR, der UK GDPR, oder dem FADP, soweit anwendbar, beschrieben).

Nachtrag für das Vereinigte Königreich bezeichnet das vom britischen Information Commissioner herausgegebene International Data Transfer Addendum zu den Standardvertragsklauseln der EU-Kommission, in Kraft seit 21 März 2022.

UK GDPR bezeichnet die DSGVO, soweit sie gemäß Section 3 des European Union (Withdrawal) Act 2018 Teil des Rechts des Vereinigten Königreichs ist.

1. Datenverarbeitung

1.1 Umfang und Rollen. Diese DPA gilt, wenn MAPSLY Kundendaten verarbeitet. In diesem Zusammenhang handelt MAPSLY als Auftragsverarbeiter für den Kunden, der entweder als Verantwortlicher oder als Auftragsverarbeiter der Kundendaten handeln kann.

1.2 Kundensteuerungen. Der Kunde kann die Servicekontrollen nutzen, um ihn bei der Erfüllung seiner Verpflichtungen nach dem geltenden Datenschutzrecht zu unterstützen, einschließlich seiner Verpflichtungen zur Beantwortung von Anfragen betroffener Personen. Unter Berücksichtigung der Art der Verarbeitung stimmt der Kunde zu, dass es unwahrscheinlich ist, dass MAPSLY davon Kenntnis erlangt, dass Kundendaten, die im Rahmen der Standardvertragsklauseln übermittelt wurden, unrichtig oder veraltet sind. Sollte MAPSLY dennoch davon Kenntnis erlangen, dass Kundendaten, die im Rahmen der Standardvertragsklauseln übermittelt wurden, unrichtig oder veraltet sind, wird MAPSLY den Kunden unverzüglich informieren. MAPSLY wird mit dem Kunden zusammenarbeiten, um unrichtige oder veraltete Kundendaten, die im Rahmen der Standardvertragsklauseln übermittelt wurden, zu löschen oder zu berichtigen, indem MAPSLY die Servicekontrollen bereitstellt, die der Kunde zur Löschung oder Berichtigung von Kundendaten nutzen kann.

1.3 Details der Datenverarbeitung.

1.3.1 Gegenstand. Gegenstand der Datenverarbeitung im Rahmen dieses DPA sind Kundendaten.

1.3.2 Dauer. Die Verarbeitung läuft für die Laufzeit der Vereinbarung und danach für den begrenzten Zeitraum weiter, der für die Rückgabe, Löschung oder rechtmäßige Aufbewahrung von Kundendaten gemäß Abschnitt 11 erforderlich ist.

1.3.3 Zweck. Zweck der Datenverarbeitung im Rahmen dieser DPA ist die Bereitstellung der Services, die der Kunde von Zeit zu Zeit initiiert.

1.3.4 Art der Verarbeitung. Computing, Speicher, Geocoding, Routing, Synchronisierung mit den verbundenen Systemen des Kunden sowie solche anderen Services, wie in der Dokumentation beschrieben und vom Kunden von Zeit zu Zeit initiiert, einschließlich, soweit der Kunde AI-basierte Funktionen der Services nutzt, der Verarbeitung durch Anbieter von AI-Modellen, die als Unterauftragsverarbeiter ausschließlich zur Bereitstellung der Services für den Kunden eingesetzt werden. MAPSLY verwendet Kundendaten nicht zum Trainieren generalisierter Modelle für künstliche Intelligenz oder maschinelles Lernen. Wenn der Kunde sich dafür entscheidet, ein vom Kunden kontrolliertes Konto eines AI-Anbieters oder API-Anmeldedaten zu verbinden, kann MAPSLY Kundendaten gemäß den dokumentierten Weisungen des Kunden an diesen Anbieter übermitteln; ein solcher Anbieter ist nicht allein aufgrund dieser Verbindung ein von MAPSLY eingesetzter Unterauftragsverarbeiter, und der Kunde ist für seine Vereinbarung und Datenverarbeitungsbedingungen mit diesem Anbieter verantwortlich. MAPSLY bleibt für die eigene Übermittlung von Kundendaten an diesen Anbieter gemäß diesem DPA verantwortlich.

1.3.5 Art der Kundendaten. Kundendaten, die in die Dienste hochgeladen oder innerhalb der Dienste unter den MAPSLY-Konten des Kunden generiert werden, die Kontakt- und CRM-Datensätze, Adressen und andere Standortdaten umfassen können (einschließlich der präzisen Geolokalisierung von Endbenutzern, wenn der Kunde Standortverfolgung, Check-in oder ähnliche Funktionen aktiviert), Fotos, Notizen, Formularantworten, Audio- und Videoaufzeichnungen und Transkripte, AI-Eingaben, AI-generierte Ausgaben und Zusammenfassungen (wenn der Kunde Sprach- oder AI-basierte Funktionen nutzt), sowie Automatisierungs- und Aktivitätsdaten.

1.3.6 Kategorien betroffener Personen. Die betroffenen Personen könnten Kunden des Kunden, Interessenten und Leads, Mitarbeiter, Lieferanten und Endnutzer umfassen.

1.4 Einhaltung von Gesetzen. Jede Partei wird alle für sie geltenden und für sie bei der Erfüllung dieses DPA verbindlichen Gesetze, Vorschriften und Regelungen einhalten, einschließlich des Anwendbaren Datenschutzrechts.

1.5 Mapsly als Verantwortlicher. Der Kunde bestätigt, dass Mapsly bestimmte Informationen über die Endbenutzer des Kunden erfasst — wie Konto-, Authentifizierungs-, Abrechnungs-, Support- und Nutzungsinformationen — wie in der MAPSLY-Datenschutzrichtlinie beschrieben (derzeit veröffentlicht unter, https://mapsly.com/privacy-policy). Soweit Mapsly die Zwecke und Mittel der Verarbeitung solcher Informationen bestimmt, handelt Mapsly als unabhängiger Controller dieser Informationen und verarbeitet sie gemäß der MAPSLY Privacy Policy und dem Applicable Data Protection Law; solche Informationen sind keine Customer Data, die im Rahmen dieses DPA verarbeitet werden. Mapsly darf solche Informationen intern und gegenüber seinen Dienstleistern für berechtigte Geschäftszwecke im Zusammenhang mit dem Betrieb, dem Support und der Verbesserung der Services offenlegen, wie etwa Abrechnung, Kontoverwaltung, technischer Support und Produktentwicklung.

2. Kundenanweisungen

The parties agree that this DPA and the Agreement (including Customer providing instructions via configuration tools such as the MAPSLY Setup console and APIs made available by MAPSLY for the Services) constitute Customer’s documented instructions regarding MAPSLY’s processing of Customer Data (“Documented Instructions”). MAPSLY will process Customer Data only in accordance with Documented Instructions (which if Customer is acting as a Processor, could be based on the instructions of its Controllers). Additional instructions outside the scope of the Documented Instructions (if any) require prior written agreement between MAPSLY and Customer, including agreement on any additional fees payable by Customer to MAPSLY for carrying out such instructions. Where an additional instruction is required for Customer’s compliance with Applicable Data Protection Law and the parties are unable, within thirty (30) days, to reasonably agree on its implementation and any applicable fees, Customer may terminate the affected Services by written notice, and MAPSLY will refund Customer the prepaid fees prorated for the unused portion of the then-current Billing Period for the terminated Services. Taking into account the nature of the processing, Customer agrees that it is unlikely MAPSLY can form an opinion on whether Documented Instructions infringe Applicable Data Protection Law. If MAPSLY forms such an opinion, it will immediately inform Customer, in which case, Customer is entitled to withdraw or modify its Documented Instructions.

3. Vertraulichkeit von Kundendaten

MAPSLY wird weder auf Kundendaten zugreifen oder diese verwenden noch sie gegenüber Dritten offenlegen, außer, in jedem Fall, soweit erforderlich, um die Dienste aufrechtzuerhalten oder bereitzustellen, oder soweit erforderlich, um geltendes Recht oder eine gültige und verbindliche Anordnung einer Regierungsbehörde (wie eine Vorladung oder gerichtliche Anordnung) einzuhalten. Wenn eine Regierungsbehörde MAPSLY eine Aufforderung zur Herausgabe von Kundendaten sendet, wird MAPSLY versuchen, die Regierungsbehörde anzuweisen, diese Daten direkt beim Kunden anzufordern. Im Rahmen dieser Bemühungen kann MAPSLY der Regierungsbehörde die grundlegenden Kontaktdaten des Kunden bereitstellen. Wenn MAPSLY gezwungen ist, Kundendaten gegenüber einer Regierungsbehörde offenzulegen, wird MAPSLY den Kunden mit angemessener Frist über die Aufforderung informieren, damit der Kunde eine Schutzanordnung oder einen anderen geeigneten Rechtsbehelf erwirken kann, sofern MAPSLY dies nicht gesetzlich untersagt ist.

4. Vertraulichkeitsverpflichtungen des MAPSLY-Personals

MAPSLY untersagt seinen Mitarbeitern, Kundendaten ohne Genehmigung durch MAPSLY zu verarbeiten. MAPSLY erlegt seinen Mitarbeitern angemessene vertragliche Verpflichtungen auf, einschließlich relevanter Verpflichtungen in Bezug auf Vertraulichkeit, Datenschutz und Datensicherheit.

5. Sicherheit der Datenverarbeitung

5.1 MAPSLY hat geeignete technische und organisatorische Maßnahmen implementiert und wird diese aufrechterhalten, um die Sicherheit und Vertraulichkeit der Kundendaten zu gewährleisten, wie in Anhang A (Technische und organisatorische Maßnahmen) zu diesem DPA beschrieben und in Übereinstimmung mit den Sicherheitsstandards von Mapsly, die in diesem DPA und in der MAPSLY-Datenschutzerklärung beschrieben sind. MAPSLY kann die in Anhang A beschriebenen Maßnahmen von Zeit zu Zeit aktualisieren, sofern kein Update die Gesamtsicherheit der Services wesentlich verringert.

5.2 Verantwortlichkeiten des Kunden und optionale Sicherheitsfunktionen. MAPSLY stellt zahlreiche Dienstkontrollen zur Verfügung, die der Kunde nutzen kann, um die Sicherheit der Kundendaten weiter zu stärken. Der Kunde ist verantwortlich für (a) die sichere Nutzung der Dienste, einschließlich der Sicherung seiner Anmeldedaten für die Kontoauthentifizierung, (b) den Schutz der Sicherheit der Kundendaten bei der Übertragung zu und von den Diensten, (c) das Ergreifen geeigneter Maßnahmen zur sicheren Verschlüsselung oder Sicherung von in die Dienste hochgeladenen Kundendaten, (d) die ordnungsgemäße Konfiguration der Dienste und Dienstkontrollen, und (e) das Ergreifen weiterer Maßnahmen, die der Kunde für angemessen hält, um Sicherheit, Schutz und Löschung der Kundendaten zu gewährleisten.

5.3 Benachrichtigung über Sicherheitsvorfälle.

5.3.1 Sicherheitsvorfall. MAPSLY wird (a) den Kunden unverzüglich nach Kenntniserlangung von dem Sicherheitsvorfall über einen Sicherheitsvorfall benachrichtigen, und (b) geeignete Maßnahmen zur Behebung des Sicherheitsvorfalls ergreifen, einschließlich Maßnahmen zur Minderung etwaiger nachteiliger Auswirkungen, die sich aus dem Sicherheitsvorfall ergeben.

5.3.2 MAPSLY Unterstützung. Damit der Kunde einen Sicherheitsvorfall den Aufsichtsbehörden oder betroffenen Personen (je nach Anwendbarkeit) melden kann, wird MAPSLY mit dem Kunden zusammenarbeiten und ihn unterstützen, indem MAPSLY in die Meldung solche Informationen über den Sicherheitsvorfall aufnimmt, die MAPSLY dem Kunden offenlegen kann, wobei die Art der Verarbeitung, die MAPSLY zur Verfügung stehenden Informationen und etwaige Beschränkungen der Offenlegung der Informationen, wie etwa Vertraulichkeit, berücksichtigt werden. Unter Berücksichtigung der Art der Verarbeitung stimmt der Kunde zu, dass er am besten in der Lage ist, die wahrscheinlichen Folgen eines Sicherheitsvorfalls zu bestimmen.

5.3.3 Erfolglose Sicherheitsvorfälle. Der Kunde stimmt zu, dass:

(i) ein erfolgloser Sicherheitsvorfall unterliegt nicht diesem Abschnitt 5.3. Ein erfolgloser Sicherheitsvorfall ist ein Vorfall, der zu keinem unbefugten Zugriff auf Kundendaten oder auf Geräte oder Einrichtungen von MAPSLY führt, in denen Kundendaten gespeichert werden, und kann unter anderem Pings und andere Broadcast-Angriffe auf Firewalls oder Edge-Server, Port-Scans, erfolglose Anmeldeversuche, Denial-of-Service-Angriffe, Packet Sniffing (oder anderen unbefugten Zugriff auf Verkehrsdaten, der nicht zu einem Zugriff über Header hinaus führt) oder ähnliche Vorfälle umfassen; und,

(ii) Die Verpflichtung von MAPSLY, einen Sicherheitsvorfall gemäß diesem Abschnitt 5.3 zu melden oder darauf zu reagieren, gilt nicht und wird nicht als Anerkennung eines Verschuldens oder einer Haftung von MAPSLY in Bezug auf den Sicherheitsvorfall ausgelegt.

5.3.4 Kommunikation. Benachrichtigung(en) über Sicherheitsvorfälle, sofern vorhanden, werden einem oder mehreren Administratoren des Kunden auf einem von MAPSLY gewählten Weg zugestellt, einschließlich per E-Mail. Es liegt in der alleinigen Verantwortung des Kunden, sicherzustellen, dass die Administratoren des Kunden jederzeit korrekte Kontaktinformationen in der MAPSLY Setup-Konsole pflegen und eine sichere Übertragung gewährleisten.

5.3.5 Benachrichtigungspflichten. Wenn MAPSLY den Kunden über einen Sicherheitsvorfall informiert oder der Kunde anderweitig von einer versehentlichen oder unrechtmäßigen Vernichtung, einem Verlust, einer Veränderung, einer unbefugten Offenlegung von Kundendaten oder einem unbefugten Zugriff darauf Kenntnis erlangt, ist der Kunde dafür verantwortlich, (a) festzustellen, ob sich daraus eine Benachrichtigungs- oder sonstige Verpflichtung nach dem geltenden Datenschutzrecht ergibt, und (b) die erforderlichen Maßnahmen zu ergreifen, um diesen Verpflichtungen nachzukommen. Dies beschränkt nicht die Verpflichtungen von MAPSLY gemäß diesem Abschnitt 5.3.

6. Unterauftragsverarbeitung

6.1 Autorisierte Unterauftragsverarbeiter. Der Kunde erteilt eine allgemeine Genehmigung für die Nutzung von Unterauftragsverarbeitern durch MAPSLY zur Durchführung von Verarbeitungstätigkeiten an Kundendaten im Namen des Kunden (“Unterauftragsverarbeiter”) gemäß diesem Abschnitt. Die MAPSLY-Website (derzeit veröffentlicht unter, https://mapsly.com/sub-processors/) listet die Unterauftragsverarbeiter auf, die derzeit von MAPSLY eingesetzt werden. Mindestens 30 Tage bevor MAPSLY einen Unterauftragsverarbeiter einsetzt, wird MAPSLY die entsprechende Website aktualisieren und dem Kunden eine Möglichkeit bereitstellen, eine Benachrichtigung über diese Aktualisierung zu erhalten. Um einem Unterauftragsverarbeiter zu widersprechen, kann der Kunde: (i) die Nutzung der Funktionalität des MAPSLY Service einstellen, für die MAPSLY den Unterauftragsverarbeiter eingesetzt hat, oder (ii) die Vereinbarung gemäß ihren Bedingungen kündigen. Wenn der Kunde einem neuen Unterauftragsverarbeiter aus berechtigten Gründen im Zusammenhang mit dem Datenschutz widerspricht und die Parteien den Widerspruch nicht innerhalb von dreißig (30) Tagen lösen können, kann der Kunde die Vereinbarung in Bezug auf die betroffenen Services durch schriftliche Mitteilung kündigen, und MAPSLY wird dem Kunden die vorausbezahlten Gebühren anteilig für den ungenutzten Teil des dann laufenden Abrechnungszeitraums nach dem Wirksamkeitsdatum der Kündigung erstatten. Wenn die betroffene Funktionalität nicht angemessen vom Rest der Services getrennt werden kann, kann der Kunde die Vereinbarung zu denselben Bedingungen vollständig kündigen.

6.2 Pflichten von Unterauftragsverarbeitern. Wenn MAPSLY einen Unterauftragsverarbeiter gemäß Abschnitt 6.1 autorisiert:

(i) MAPSLY wird den Zugriff des Unterauftragsverarbeiters auf Kundendaten auf das beschränken, was zur Bereitstellung oder Wartung der Dienste gemäß der Dokumentation erforderlich ist, und MAPSLY wird dem Unterauftragsverarbeiter untersagen, zu irgendeinem anderen Zweck auf Kundendaten zuzugreifen;,

(ii) MAPSLY wird mit dem Unterauftragsverarbeiter eine schriftliche Vereinbarung abschließen und, soweit der Unterauftragsverarbeiter dieselben Datenverarbeitungsdienste erbringt, die von MAPSLY im Rahmen dieses DPA erbracht werden, wird MAPSLY dem Unterauftragsverarbeiter dieselben vertraglichen Verpflichtungen auferlegen, die MAPSLY im Rahmen dieses DPA hat; und,

(iii) MAPSLY bleibt verantwortlich für die Einhaltung seiner Verpflichtungen aus diesem DPA sowie für alle Handlungen oder Unterlassungen des Unterauftragsverarbeiters, die dazu führen, dass MAPSLY gegen eine der Verpflichtungen von MAPSLY aus diesem DPA verstößt.

7. MAPSLY-Unterstützung bei Anfragen betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung sind die Service-Kontrollen die technischen und organisatorischen Maßnahmen, mit denen MAPSLY den Kunden dabei unterstützt, seinen Verpflichtungen zur Beantwortung von Anfragen betroffener Personen nach dem Anwendbaren Datenschutzrecht nachzukommen. Wenn eine betroffene Person eine Anfrage an MAPSLY richtet, wird MAPSLY diese Anfrage unverzüglich an den Kunden weiterleiten, sobald MAPSLY festgestellt hat, dass die Anfrage von einer betroffenen Person stammt, für die der Kunde verantwortlich ist. Der Kunde ermächtigt MAPSLY in seinem Namen und im Namen seiner Verantwortlichen, wenn der Kunde als Auftragsverarbeiter handelt, jeder betroffenen Person, die eine Anfrage an MAPSLY richtet, zu antworten, um zu bestätigen, dass MAPSLY die Anfrage an den Kunden weitergeleitet hat. Die Parteien vereinbaren, dass die Nutzung der Service-Kontrollen durch den Kunden und die Weiterleitung von Anfragen betroffener Personen durch MAPSLY an den Kunden gemäß diesem Abschnitt den Umfang und das Ausmaß der erforderlichen Unterstützung des Kunden darstellen.

8. Compliance-Prüfung

8.1 MAPSLY Audits. MAPSLY setzt externe Prüfer ein, um die Angemessenheit seiner Sicherheitsmaßnahmen zu überprüfen. Diese Prüfung: (a) wird mindestens jährlich durchgeführt; (b) wird nach einem weithin anerkannten Standard (wie SOC 2 Type II) durchgeführt; (c) wird von unabhängigen externen Sicherheitsexperten nach Auswahl und auf Kosten von MAPSLY durchgeführt; und (d) führt zur Erstellung eines Prüfberichts („Bericht“), der als vertrauliche Information von MAPSLY gilt.

8.2 Prüfberichte. Auf schriftliche Anfrage des Kunden, und vorausgesetzt, dass zwischen den Parteien eine anwendbare NDA besteht, stellt MAPSLY dem Kunden zur angemessenen Überprüfung der Einhaltung seiner Verpflichtungen aus diesem DPA durch MAPSLY eine Kopie des Berichts zur Verfügung.

8.3 Datenschutz-Folgenabschätzung und vorherige Konsultation. Unter Berücksichtigung der Art der Verarbeitung und der MAPSLY zur Verfügung stehenden Informationen wird MAPSLY den Kunden bei der Erfüllung der Verpflichtungen des Kunden in Bezug auf Datenschutz-Folgenabschätzungen und vorherige Konsultationen unterstützen, indem MAPSLY die Informationen bereitstellt, die MAPSLY gemäß diesem Abschnitt 8. zur Verfügung stellt.

9. Übermittlungen personenbezogener Daten

9.1 Standorte. MAPSLY speichert und verarbeitet Kundendaten innerhalb des MAPSLY-Netzwerks in den USA. MAPSLY-Mitarbeiter und Unterauftragsverarbeiter können aus anderen Ländern, in denen sie tätig sind, aus der Ferne auf Kundendaten zugreifen, ausschließlich soweit dies zur Bereitstellung, Wartung und Unterstützung der Services erforderlich ist; jeder derartige Zugriff stellt eine Datenübermittlung dar, die diesem Abschnitt 9 unterliegt. MAPSLY wird Kundendaten ansonsten nicht außerhalb des EWR, des Vereinigten Königreichs, der Schweiz und der USA übertragen, außer soweit dies zur Bereitstellung der vom Kunden initiierten Services erforderlich ist, oder soweit dies zur Einhaltung des Gesetzes oder einer gültigen und verbindlichen Anordnung einer staatlichen Stelle erforderlich ist.

9.2 Anwendung der Standardvertragsklauseln. Vorbehaltlich Abschnitt 9.3 gelten die Standardvertragsklauseln nur für Kundendaten, die der GDPR, der UK GDPR oder dem FADP unterliegen und entweder direkt oder durch Weiterübermittlung in ein Drittland übermittelt werden (jeweils eine “Datenübermittlung”).

9.2.1 Wenn der Kunde als Verantwortlicher handelt, gelten die Verantwortlicher-zu-Auftragsverarbeiter-Klauseln für eine Datenübermittlung.

9.2.2 Wenn der Kunde als Auftragsverarbeiter handelt, gelten die Auftragsverarbeiter-zu-Auftragsverarbeiter-Klauseln für eine Datenübermittlung. Unter Berücksichtigung der Art der Verarbeitung, stimmt der Kunde zu, dass es unwahrscheinlich ist, dass MAPSLY die Identität der Verantwortlichen des Kunden kennt, da MAPSLY keine direkte Beziehung zu den Verantwortlichen des Kunden hat, und daher wird der Kunde die Verpflichtungen von MAPSLY gegenüber den Verantwortlichen des Kunden gemäß den Auftragsverarbeiter-zu-Auftragsverarbeiter-Klauseln erfüllen.

9.2.3 Für der UK GDPR unterliegende Datenübermittlungen gelten die Standardvertragsklauseln, ergänzt durch das UK Addendum, ausgefüllt wie in Abschnitt 9.4. dargelegt.,

9.2.4 Für Datenübermittlungen, die dem FADP unterliegen, gelten die Standardvertragsklauseln mit den folgenden Anpassungen: (i) Verweise auf die GDPR sind als Verweise auf den FADP zu verstehen; (ii) die zuständige Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte; (iii) der Begriff “Mitgliedstaat” ist so auszulegen, dass er die Schweiz einschließt, sodass betroffene Personen in der Schweiz ihre Rechte an ihrem gewöhnlichen Aufenthaltsort durchsetzen können; and (iv) Verweise auf EU-Recht sind als Verweise auf schweizerisches Recht zu verstehen, wenn die Übermittlung ausschließlich dem FADP unterliegt.

9.3 Alternativer Übertragungsmechanismus. Soweit MAPSLY einen gültigen alternativen Übermittlungsmechanismus eingeführt hat, der nach dem anwendbaren Datenschutzrecht anerkannt ist — einschließlich der Zertifizierung von MAPSLY nach dem EU-U.S. Data Privacy Framework, der UK Extension to the EU-U.S. Data Privacy Framework und dem Swiss-U.S. Data Privacy Framework — gilt dieser Mechanismus für eine Datenübermittlung anstelle der Standardvertragsklauseln, solange er gültig bleibt. Wird ein solcher alternativer Mechanismus für ungültig erklärt, ausgesetzt, zurückgezogen oder bietet er anderweitig keine rechtmäßige Grundlage mehr für eine Datenübermittlung, gelten die Standardvertragsklauseln (wie in Abschnitt 9.4 ausgefüllt) automatisch für diese Datenübermittlung, ohne dass eine weitere Handlung einer der Parteien erforderlich ist. MAPSLY wird seine Data Privacy Framework-Zertifizierung aufrechterhalten, solange es sich für Datenübermittlungen auf das Data Privacy Framework stützt.

9.4 Vervollständigung der Standardvertragsklauseln. For each Data Transfer to which the Standard Contractual Clauses apply, the Standard Contractual Clauses are deemed completed as follows: (i) Module Two (transfer controller to processor) applies where Customer acts as a Controller, and Module Three (transfer processor to processor) applies where Customer acts as a Processor; (ii) in Clause 7, the optional docking clause does not apply; (iii) in Clause 9, Option 2 (general written authorisation) applies, and the time period for prior notice of Sub-processor changes is thirty (30) days, in accordance with Section 6.1; (iv) in Clause 11, the optional language does not apply; (v) in Clauses 17 and 18, the governing law and the competent courts are those of Ireland; and (vi) Annex I of the Standard Contractual Clauses is deemed completed with the information set out in Annex B to this DPA, Annex II is deemed completed with Annex A to this DPA, and Annex III is deemed completed with the Sub-processor list referenced in Section 6.1. Where the UK Addendum applies: Table 1 is deemed completed with the parties’ details under the Agreement; Table 2 with the Standard Contractual Clauses as completed above; Table 3 with the Annex information above; and, for Table 4, neither party may end the UK Addendum as set out in Section 19 of the UK Addendum.

10. Beendigung des DPA

Diese DPA bleibt bis zur Beendigung der Vereinbarung (dem “Beendigungsdatum”) in Kraft.

11. Löschung von Kundendaten

Bei Kündigung oder Ablauf der Vereinbarung wird MAPSLY Kundendaten auf Anfrage des Kunden aus seinen aktiven Systemen löschen, in jedem Fall jedoch spätestens innerhalb eines Zeitraums von 90 Tagen nach der Kündigung, es sei denn und soweit MAPSLY nach geltendem Recht verpflichtet ist, einige oder alle Kundendaten aufzubewahren; in diesem Fall wird MAPSLY diese Daten sicher isolieren, sie vor jeglicher weiteren Verarbeitung schützen und sie gemäß den geltenden Aufbewahrungsfristen löschen. Kundendaten, die in Backup-Systemen gespeichert sind, werden im gewöhnlichen Verlauf der Backup-Rotationszyklen von MAPSLY nach der Löschung aus den aktiven Systemen gelöscht oder überschrieben und bis zur Löschung vor jeglicher weiteren Verarbeitung geschützt.

12. Informationspflichten

Wenn Kundendaten während der Verarbeitung durch MAPSLY im Rahmen von Konkurs- oder Insolvenzverfahren oder ähnlichen Maßnahmen durch Dritte der Beschlagnahme unterliegen, wird MAPSLY den Kunden unverzüglich informieren. MAPSLY wird unverzüglich alle relevanten Parteien in einem solchen Verfahren (zum Beispiel Gläubiger, Insolvenzverwalter) darüber informieren, dass alle Kundendaten, die Gegenstand dieser Verfahren sind, Eigentum und Verantwortungsbereich des Kunden sind und dass Kundendaten der alleinigen Verfügung des Kunden unterliegen.

13. Gesamte Vereinbarung; Konflikt; Änderung

Diese DPA bezieht die Standardvertragsklauseln durch Verweis ein. Soweit nicht durch diese DPA geändert, bleibt die Vereinbarung in vollem Umfang in Kraft und wirksam. Im Falle eines Konflikts zwischen den Standardvertragsklauseln, dieser DPA und der Vereinbarung in Bezug auf die Verarbeitung von Kundendaten haben die Standardvertragsklauseln zuerst Vorrang, diese DPA hat an zweiter Stelle Vorrang und die Vereinbarung hat an dritter Stelle Vorrang. Für alle anderen Angelegenheiten gilt die Vereinbarung. Nichts in diesem Dokument ändert oder modifiziert die Standardvertragsklauseln. Diese DPA kann gemäß Abschnitt 14.1 der Vereinbarung geändert werden, vorausgesetzt, dass MAPSLY den Kunden vorab über jede Änderung informiert, die den Schutz der Kundendaten gemäß dieser DPA wesentlich verringert.

14. Google Workspace API-Daten

Die Verwendung von unverarbeiteten oder abgeleiteten Nutzerdaten, die über Workspace APIs empfangen werden, erfolgt gemäß der Google User Data Policy, einschließlich der Anforderungen zur Limited Use.

15. Sprache

Diese DPA wurde auf Englisch erstellt. Jede auf mapsly.com angezeigte Übersetzung wird nur zur Vereinfachung bereitgestellt. Im Falle von Abweichungen oder Konflikten zwischen einer übersetzten Version und der englischen Version, die verfügbar ist unter, https://mapsly.com/dpa, ist die englische Fassung maßgebend. Die Standardvertragsklauseln werden durch Verweis in ihrer englischen Sprachfassung einbezogen; nichts in diesem Abschnitt ändert oder modifiziert die Standardvertragsklauseln.

Anhang A — Technische und organisatorische Maßnahmen

MAPSLY unterhält die folgenden technischen und organisatorischen Maßnahmen zum Schutz von Kundendaten. MAPSLY kann diese Maßnahmen von Zeit zu Zeit aktualisieren, vorausgesetzt, dass keine Aktualisierung die Gesamtsicherheit der Dienste wesentlich verringert.

• Hosting und Ausfallsicherheit: Die Services werden auf Amazon Web Services in den Vereinigten Staaten über mehrere Verfügbarkeitszonen hinweg gehostet; Backups werden täglich erstellt und in einer separaten Verfügbarkeitszone gespeichert; die Wiederherstellung von Backups wird mindestens einmal jährlich getestet.
• Verschlüsselung: Kundendaten werden im Ruhezustand und bei der Übertragung mit branchenüblichen Verschlüsselungsprotokollen verschlüsselt.
• Zugriffskontrolle: Der Zugriff auf Produktionssysteme ist rollenbasiert, auf autorisiertes Personal nach dem Prinzip der geringsten Rechte beschränkt, wird bei Rollenwechsel oder Kündigung umgehend entzogen und regelmäßig überprüft.
• Authentifizierung: Single Sign-On und Multi-Faktor-Authentifizierung werden unterstützt.
• Sichere Entwicklung: dokumentierte sichere Entwicklungspraktiken, einschließlich Code-Review und Trennung von Entwicklungs-, Test- und Produktionsumgebungen.
• Schwachstellenmanagement: regelmäßige Schwachstellen-Scans und mindestens jährliche Penetrationstests durch unabhängige Dritte, mit Behebung gemäß dokumentierten schweregradbasierten Fristen.
• Protokollierung und Überwachung: sicherheitsrelevante Ereignisse werden protokolliert, aufbewahrt und überwacht.
• Personal: Das Personal ist an Vertraulichkeitsverpflichtungen gebunden und erhält Schulungen zum Sicherheitsbewusstsein.
• Incident Response: Ein dokumentierter Incident-Response-Plan wird gepflegt; Sicherheitsvorfälle werden gemäß Abschnitt 5.3. behandelt.
• Geschäftskontinuität: Dokumentierte Pläne für Geschäftskontinuität und Notfallwiederherstellung werden gepflegt.
• Governance: Eine dokumentierte Suite von Informationssicherheitsrichtlinien wird gepflegt und regelmäßig überprüft; Mitarbeitende akzeptieren die geltenden Richtlinien.
• Unabhängige Zusicherung: Sicherheitskontrollen werden mindestens jährlich von unabhängigen Dritten nach einem weithin anerkannten Standard geprüft (derzeit SOC 2 Type II).

Anhang B — Informationen zu Standardvertragsklauseln

Für die Zwecke von Anhang I der Standardvertragsklauseln gelten die folgenden Informationen für jede Datenübermittlung:

• Datenexporteur: Kunde (Name, Adresse und Kontaktdaten, wie im MAPSLY-Konto des Kunden und in der Vereinbarung angegeben), der als Verantwortlicher oder als Auftragsverarbeiter im Auftrag seiner Verantwortlichen handelt, wie in Abschnitt 9.2 beschrieben. Kontakt: Der hinterlegte Administratorkontakt des Kunden.
• Datenimporteur: Mapsly LLC, 440 N Barranca Ave #4985, Covina, CA 91723, USA; [email protected]; handelnd als Auftragsverarbeiter.
• Unterschrift und Datum: jede Partei gilt als Unterzeichner der Standardvertragsklauseln, einschließlich ihrer Anhänge, mit Annahme oder Ausfertigung der Vereinbarung, mit Wirkung ab dem Datum des Inkrafttretens der Vereinbarung.
• Kategorien betroffener Personen: gemäß Abschnitt 1.3.6.
• Kategorien personenbezogener Daten: wie in Abschnitt 1.3.5. beschrieben.
• Sensible Daten: Die Dienste sind nicht speziell darauf ausgelegt, besondere Kategorien personenbezogener Daten zu erfordern. Soweit der Kunde sich entscheidet, solche Daten zu übermitteln, ist der Kunde dafür verantwortlich, dabei die geltenden Datenschutzgesetze einzuhalten, und die Daten werden nur gemäß den dokumentierten Anweisungen des Kunden verarbeitet und durch die in Anhang A. beschriebenen Maßnahmen geschützt,
• Häufigkeit der Übermittlung: kontinuierlich, für die in Abschnitt 1.3.2. beschriebene Dauer.
• Art und Zweck der Verarbeitung: wie in den Abschnitten 1.3.3 und 1.3.4 beschrieben. Übermittlungen an Unterauftragsverarbeiter: wie in Abschnitt 6 beschrieben, für dieselbe Dauer.
• Aufbewahrungsfrist: wie in Abschnitt 11 beschrieben.
• Zuständige Aufsichtsbehörde (Klausel 13): wenn der Datenexporteur in einem EWR-Mitgliedstaat niedergelassen ist, die Aufsichtsbehörde dieses Mitgliedstaats; wenn der Datenexporteur nicht im EWR niedergelassen ist, aber in den territorialen Anwendungsbereich der GDPR fällt und einen EU-Vertreter benannt hat, die Aufsichtsbehörde des Mitgliedstaats, in dem der Vertreter niedergelassen ist; wenn der Datenexporteur gemäß Artikel 3(2) in den territorialen Anwendungsbereich der GDPR fällt, aber keinen EU-Vertreter benannt hat, die Aufsichtsbehörde eines der Mitgliedstaaten, in denen sich die betroffenen Personen befinden, deren personenbezogene Daten übermittelt werden. Für Datenübermittlungen, die der UK GDPR unterliegen, das UK Information Commissioner’s Office; für Datenübermittlungen, die dem FADP unterliegen, der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte der Schweiz.