Datenverarbeitungsvereinbarung

The People Readiness Company (TPRC) ist eine Marke von MUAIDENTITY INC.

Diese Datenverarbeitungsvereinbarung („DPA“) ist Bestandteil der Vereinbarung zwischen MUAIDENTITY INC. („MUAIDENTITY INC.“, „TPRC“, „Auftragsverarbeiter“, „wir“, „uns“ oder „unser“) und dem Kunden, der im jeweiligen Bestellformular, Master Services Agreement oder in den Abonnementbedingungen bezeichnet ist („Kunde“, „Verantwortlicher“ oder „Sie“) (die „Vereinbarung“), auf deren Grundlage wir unsere Software und die damit verbundenen Dienstleistungen (die „Dienste“) bereitstellen.

Diese DPA gilt, soweit und solange wir im Rahmen der Erbringung der Dienste personenbezogene Daten im Auftrag des Kunden verarbeiten. Sie dokumentiert die Vereinbarung der Parteien über die Verarbeitung solcher personenbezogenen Daten gemäß den anwendbaren Datenschutzgesetzen. Wenn Sie eine unterzeichnete Ausfertigung benötigen, kontaktieren Sie uns bitte über die unten angegebenen Kontaktdaten.

Zuletzt aktualisiert: 06.10.2026

Definitionen

„Datenschutzgesetze“ bezeichnet alle Gesetze und Vorschriften, die auf die Verarbeitung personenbezogener Daten im Rahmen der Vereinbarung anwendbar sind, einschließlich der Datenschutz-Grundverordnung der Europäischen Union (EU) 2016/679 („EU-DSGVO“), der UK GDPR und des Data Protection Act 2018 („UK GDPR“), des California Consumer Privacy Act in seiner jeweils geltenden Fassung („CCPA“) sowie weiterer Datenschutzgesetze einzelner US-Bundesstaaten.

„Personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen in den jeweils anwendbaren Datenschutzgesetzen zugewiesen wird. Soweit Datenschutzgesetze einzelner US-Bundesstaaten Anwendung finden, haben „Business“, „Service Provider“, „Consumer“ sowie „Sell“ beziehungsweise „Share“ die dort festgelegte Bedeutung. Verweise auf Verantwortliche und Auftragsverarbeiter umfassen entsprechend Business und Service Provider.

„Personenbezogene Kundendaten“ bezeichnet personenbezogene Daten, die wir im Auftrag des Kunden gemäß der Vereinbarung verarbeiten, wie in Anhang I beschrieben.

„Unterauftragsverarbeiter“ bezeichnet jeden Dritten, den wir mit der Verarbeitung personenbezogener Kundendaten beauftragen.

„Standardvertragsklauseln“ oder „SCCs“ bezeichnet die von der Europäischen Kommission genehmigten Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) sowie für Übermittlungen aus dem Vereinigten Königreich das UK International Data Transfer Addendum.

Rollen der Parteien

Die Parteien erkennen an, dass der Kunde in Bezug auf personenbezogene Kundendaten der Verantwortliche (oder Business) und MUAIDENTITY INC. der Auftragsverarbeiter (oder Service Provider) ist. Soweit der Kunde selbst als Auftragsverarbeiter im Auftrag eines Dritten handelt, sichert der Kunde zu, über die erforderlichen Befugnisse und Weisungen zu verfügen, um uns im Rahmen dieser DPA zu beauftragen.

Umfang und Einzelheiten der Verarbeitung

Wir verarbeiten personenbezogene Kundendaten ausschließlich in dem Umfang, der zur Erbringung der Dienste erforderlich ist, sowie entsprechend den Bestimmungen dieser DPA. Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten sowie die Kategorien betroffener Personen sind in Anhang I beschrieben.

Pflichten des Auftragsverarbeiters

Wir werden:

• Nur auf dokumentierte Weisungen handeln. Personenbezogene Kundendaten ausschließlich auf dokumentierte Weisungen des Kunden verarbeiten, einschließlich der Vereinbarung, dieser DPA und der Nutzung der Dienste durch den Kunden, es sei denn, wir sind gesetzlich zu einer anderen Verarbeitung verpflichtet. In diesem Fall informieren wir den Kunden, soweit dies gesetzlich zulässig ist.
• Auf rechtswidrige Weisungen hinweisen. Den Kunden informieren, wenn wir der Auffassung sind, dass eine Weisung gegen geltende Datenschutzgesetze verstößt.
• Vertraulichkeit sicherstellen. Sicherstellen, dass alle zur Verarbeitung personenbezogener Kundendaten befugten Personen angemessenen Vertraulichkeitsverpflichtungen unterliegen.
• Sicherheitsmaßnahmen umsetzen. Die in Anhang II beschriebenen technischen und organisatorischen Maßnahmen umsetzen und aufrechterhalten.
• Den Kunden unterstützen. Unter Berücksichtigung der Art der Verarbeitung angemessene Unterstützung bei der Erfüllung gesetzlicher Pflichten des Kunden hinsichtlich Sicherheit, Betroffenenrechten, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen sowie gegebenenfalls vorherigen Konsultationen leisten.

Pflichten des Kunden

Der Kunde ist für die Richtigkeit, Qualität und Rechtmäßigkeit der personenbezogenen Kundendaten sowie für die Art und Weise ihrer Erhebung verantwortlich. Der Kunde gewährleistet, dass er über eine rechtmäßige Grundlage verfügt, um uns personenbezogene Kundendaten bereitzustellen und die in dieser DPA beschriebene Verarbeitung zu autorisieren, und dass seine Weisungen den Datenschutzgesetzen entsprechen. Dies umfasst auch die Verantwortung für eine geeignete Rechtsgrundlage für besondere Kategorien personenbezogener Daten, die Nutzer gegebenenfalls freiwillig in Freitextfeldern eingeben.

Unterauftragsverarbeiter

Der Kunde erteilt uns eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Unsere aktuellen Unterauftragsverarbeiter sind in Anhang III aufgeführt. Wir werden:

• jeden Unterauftragsverarbeiter durch schriftliche Vereinbarung zu Datenschutzpflichten verpflichten, die mindestens dem Schutzniveau dieser DPA entsprechen;
• für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters verantwortlich bleiben; und
• den Kunden mindestens 30 Tage vor der Hinzufügung oder dem Austausch eines Unterauftragsverarbeiters informieren, entweder per E-Mail oder durch Aktualisierung einer abonnierbaren Online-Liste. Der Kunde erhält dadurch die Möglichkeit, aus berechtigten datenschutzrechtlichen Gründen Einwände zu erheben. Sofern einem berechtigten Einwand nicht entsprochen werden kann, kann der Kunde die betroffenen Dienste als einziges Rechtsmittel kündigen.

Internationale Datenübermittlungen

Soweit unsere Verarbeitung personenbezogener Kundendaten eine Übermittlung aus dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich oder der Schweiz in ein Land umfasst, das kein angemessenes Datenschutzniveau gewährleistet, vereinbaren die Parteien, dass diese Übermittlung den Standardvertragsklauseln unterliegt. Diese werden durch Verweis Bestandteil dieser DPA und durch die Angaben in den Anhängen ergänzt, gegebenenfalls zusammen mit dem UK Addendum.

Soweit wir über eine gültige Zertifizierung nach dem EU-U.S. Data Privacy Framework, der UK Extension und dem Swiss-U.S. Data Privacy Framework verfügen, können Datenübermittlungen ebenfalls auf diese Zertifizierung gestützt werden. Modul 2 der SCCs (Verantwortlicher zu Auftragsverarbeiter) gilt, wenn der Kunde Verantwortlicher ist. Modul 3 (Auftragsverarbeiter zu Auftragsverarbeiter) gilt, wenn der Kunde selbst im Auftrag eines Dritten handelt.

Wir hosten personenbezogene Kundendaten derzeit in den Vereinigten Staaten (Microsoft Azure, Region Ostküste). Im Falle eines Widerspruchs haben die SCCs hinsichtlich der von ihnen geregelten Datenübermittlungen Vorrang.

Anfragen betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung leisten wir dem Kunden angemessene Unterstützung, einschließlich geeigneter technischer und organisatorischer Maßnahmen, damit dieser Anfragen betroffener Personen zur Ausübung ihrer Rechte nach den Datenschutzgesetzen bearbeiten kann.

Erhalten wir eine solche Anfrage direkt, informieren wir den Kunden unverzüglich, soweit dies gesetzlich zulässig ist, und verweisen die betroffene Person an den Kunden. Eine direkte Beantwortung erfolgt nur auf Weisung des Kunden oder wenn wir gesetzlich dazu verpflichtet sind.

Verletzung des Schutzes personenbezogener Daten

Wir informieren den Kunden unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten, die personenbezogene Kundendaten betrifft. Dabei stellen wir alle uns angemessen verfügbaren Informationen zur Verfügung, die der Kunde zur Erfüllung seiner gesetzlichen Meldepflichten benötigt.

Wir werden angemessene Maßnahmen ergreifen, um Auswirkungen der Datenschutzverletzung einzudämmen und, soweit möglich, Abhilfe zu schaffen. Eine Benachrichtigung stellt kein Schuldeingeständnis und keine Haftungsanerkennung dar.

Anfragen von Behörden und Strafverfolgungsbehörden

Erhalten wir eine rechtsverbindliche Anfrage einer Behörde hinsichtlich personenbezogener Kundendaten, geben wir nur diejenigen Daten weiter, deren Offenlegung gesetzlich vorgeschrieben ist. Soweit rechtlich zulässig, informieren wir den Kunden vor einer solchen Offenlegung.

Audits

Wir stellen dem Kunden Informationen zur Verfügung, die angemessenerweise erforderlich sind, um die Einhaltung dieser DPA nachzuweisen. Zudem ermöglichen und unterstützen wir Audits und Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer.

Um Betriebsunterbrechungen zu minimieren, erfolgen Audits mit angemessener Vorankündigung, grundsätzlich höchstens einmal pro Jahr, während der üblichen Geschäftszeiten und unter Wahrung angemessener Vertraulichkeitspflichten. Davon ausgenommen sind Audits aufgrund behördlicher Anordnungen oder nach einer Datenschutzverletzung.

Soweit verfügbar, können wir Audit-Anfragen durch aktuelle Prüfberichte oder Zertifizierungen Dritter (zum Beispiel SOC 2 oder ISO 27001) erfüllen.