Zusatzvereinbarung zur Datenverarbeitung

Zuletzt aktualisiert: 15. Januar 2026

Dieser Zusatz zur Datenverarbeitung (“DPA”) legt die Bedingungen fest, unter denen Ideaform, Inc. (“Ideaform”, “wir”, “uns”, “unser”) personenbezogene Daten im Auftrag von Nutzern von Portfolio, Prints Marketplace und Format Store (“du” oder “Ideaform-Nutzer”) verarbeitet, die unsere Dienste von Portfolio, Prints Marketplace und Format Store – die “Ideaform-Dienste” – kaufen oder anderweitig nutzen.

ALLE STREITIGKEITEN, BESCHWERDEN ODER ANSPRÜCHE, DIE SICH AUS DIESER DATENSCHUTZVEREINBARUNG ERGEBEN, UNTERLIEGEN, SOWEIT GESETZLICH ZULÄSSIG, DEN BESTIMMUNGEN, KRITERIEN UND ANFORDERUNGEN ZUR STREITBEILEGUNG UND HAFTUNGSBESCHRÄNKUNG UNTERLIEGEN, DIE IN DER IDEAFORM FESTGELEGT SIND NUTZUNGSBEDINGUNGEN.

1. Begriffe

1.1. Geltendes Datenschutzrecht bezeichnet alle Gesetze, Rechtsvorschriften und Verordnungen, die für die Verarbeitung personenbezogener Daten gemäß dem Allgemeine Geschäftsbedingungen, einschließlich (sofern zutreffend) des Gesetzes zum Schutz personenbezogener Daten und elektronischer Dokumente (PIPEDA), der EU-Datenschutz-Grundverordnung (“DSGVO”), das britische Datenschutzgesetz von 2018 und die britische DSGVO, das Schweizer Bundesgesetz über den Datenschutz (“BDSG”) sowie umfassende Datenschutzgesetze der US-Bundesstaaten, die für die Ideaform-Dienste gelten (einschließlich Kalifornien, Virginia, Colorado, Connecticut, Utah und anderer im Wesentlichen ähnlicher Datenschutzgesetze der Bundesstaaten, sobald diese in Kraft treten), zusammen mit den entsprechenden Durchführungsbestimmungen.

1.2. Kalifornisches Verbraucherdatenschutzgesetz (“CCPA”) bezeichnet den California Consumer Privacy Act von 2018 in der durch den California Privacy Rights and Enforcement Act von 2020 geänderten Fassung sowie alle sonstigen geltenden Änderungen (kodifiziert in § Cal. Civ. Code 1798.100 ff.) und umfasst alle Durchführungsbestimmungen.

1.3. Betroffene Person bezeichnet eine identifizierte oder identifizierbare natürliche Person, deren personenbezogene Daten von Ideaform verarbeitet werden. 

1.4. Standardvertragsklauseln der Europäischen Union (EU) bezeichnet die Standardvertragsklauseln, die mit dem Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission vom 4. Juni 2021 für die Übermittlung personenbezogener Daten in Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates verabschiedet wurden.

1.5. Datenschutz-Grundverordnung (“DSGVO”) bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG sowie alle geltenden Rechtsvorschriften der (EU)-Mitgliedstaaten, die diese umsetzen.

1.6. Personenbezogene Daten bezeichnet alle Informationen oder Daten, die allein oder in Kombination mit anderen Informationen oder Daten dazu verwendet werden können, eine bestimmte Person, einen bestimmten Haushalt oder ein bestimmtes Gerät hinreichend eindeutig zu identifizieren, und die einem geltenden Datenschutzgesetz unterliegen oder anderweitig dessen Schutz genießen.

1.7. Persönliche Daten der Ideaform-Nutzer bezeichnet die personenbezogenen Daten, die Ideaform im Auftrag eines Ideaform-Nutzers verarbeitet.

1.8. Ideaform-Dienstleistungen hat die Bedeutung, die ihm in der Ideaform zugewiesen wird, die Allgemeine Geschäftsbedingungen.

1.9. Inhalte der Ideaform-Benutzerseite hat die Bedeutung, die ihm in der Ideaform zugewiesen wird, die Allgemeine Geschäftsbedingungen.

1.10. Unterauftragnehmer bezeichnet jede Drittorganisation, die von Ideaform beauftragt wurde, personenbezogene Daten von Ideaform-Nutzern in dessen Auftrag zu verarbeiten.

1.11. Nachtrag zum Vereinigten Königreich (UK)/IDTA bezeichnet den Zusatz zum internationalen Datentransfer zu den Standardvertragsklauseln der Europäischen Kommission, der vom britischen Informationsbeauftragten gemäß § 119A(1) des Datenschutzgesetzes von 2018 herausgegeben wurde, in der jeweils gültigen Fassung oder in der jeweils durch eine neue Fassung ersetzten Fassung. IDTA bezeichnet die vom britischen Informationsbeauftragten herausgegebene eigenständige britische Vereinbarung über den internationalen Datentransfer in ihrer jeweils gültigen Fassung oder in ihrer jeweils durch eine neue Fassung ersetzten Form.

Die Begriffe “Verantwortlicher”, “Datenverantwortlicher”, “Auftragsverarbeiter”, “Datenauftragsverarbeiter”, “Verarbeitung”, “Verarbeitung”, “Verarbeitungsvorgang”, “Datenschutzverletzung” und „Verletzung des Schutzes personenbezogener Daten“ haben die in den geltenden Datenschutzgesetzen festgelegten Bedeutungen und können in dieser DPA großgeschrieben werden, um zu verdeutlichen, dass es sich um definierte Begriffe handelt. Jedem anderen Begriff, der großgeschrieben, aber hier nicht anderweitig definiert ist, wird die Bedeutung gemäß den Ideaform-Richtlinien zugewiesen. Allgemeine Geschäftsbedingungen. 

2. Geltungsbereich. Du erkennst an, dass die Ideaform-Dienste in erster Linie dazu konzipiert und bereitgestellt werden, dir die Ausstellung, Organisation, den Druck, den Verkauf, den Austausch und die Weitergabe von digitalen Bildern, Videos und zugehörigen Produkten zu ermöglichen, und nicht in erster Linie zur Speicherung, Verwaltung oder Verarbeitung personenbezogener Daten.

3. Wird verarbeitet. Du bestätigst ausdrücklich, dass: (i) du der Verantwortliche für die in den Inhalten der Ideaform-Benutzerseite enthaltenen personenbezogenen Daten bist; (ii) du hiermit Ideaform als Auftragsverarbeiter mit der Verarbeitung der in den Inhalten der Ideaform-Benutzerseite enthaltenen personenbezogenen Daten beauftragst; und (iii) Ideaform die personenbezogenen Daten als Auftragsverarbeiter in dem Umfang verarbeitet, der zur Erfüllung seiner Verpflichtungen aus dieser DPA erforderlich ist, und zwar streng gemäß deinen in dieser DPA dokumentierten Anweisungen, sofern nicht durch geltendes Recht etwas anderes vorgeschrieben ist. Der Ideaform-Nutzer ist dafür verantwortlich, alle Anforderungen zu erfüllen, die gemäß dem geltenden Datenschutzrecht für ihn gelten. Der Ideaform-Nutzer erkennt an und erklärt sich damit einverstanden, dass er allein für die Richtigkeit, Qualität und Rechtmäßigkeit der personenbezogenen Daten des Ideaform-Nutzers sowie für die Einhaltung aller erforderlichen Transparenz- und Rechtmäßigkeitsanforderungen gemäß dem geltenden Datenschutzrecht bei der Erhebung und Nutzung der personenbezogenen Daten des Ideaform-Nutzers verantwortlich ist, einschließlich der Einholung aller erforderlichen Einwilligungen und Genehmigungen von den betroffenen Personen. Um Zweifel auszuschließen, versichert der Ideaform-Nutzer hiermit gegenüber Ideaform, dass er über die rechtliche Befugnis und einen angemessenen geschäftlichen Zweck verfügt, um Ideaform im Zusammenhang mit den Ideaform-Diensten alle personenbezogenen Daten des Ideaform-Nutzers zur Verfügung zu stellen, und dass er, sofern gesetzlich erforderlich, die Einwilligung aller betroffenen Personen hinsichtlich der hierin beschriebenen Verarbeitung eingeholt hat. Jede Partei muss die andere Partei unverzüglich (und in jedem Fall innerhalb von zweiundsiebzig (72) Stunden) informieren, wenn sie ihren in dieser DPA festgelegten Verpflichtungen nicht nachkommen kann. Der Ideaform-Nutzer ist allein dafür verantwortlich, die Ideaform-Dienste, einschließlich aller verfügbaren Sicherheitsdokumente und -funktionen, zu prüfen, um festzustellen, ob sie den Anforderungen, geschäftlichen Bedürfnissen und rechtlichen Verpflichtungen des Ideaform-Nutzers entsprechen. 

3.1. Pflichten des Auftragsverarbeiters. Gemäß den geltenden Datenschutzgesetzen muss Ideaform: (a) die personenbezogenen Daten der Ideaform-Nutzer ausschließlich auf der Grundlage dokumentierter Anweisungen des Ideaform-Nutzers verarbeiten, auch im Hinblick auf Übermittlungen, sofern dies nicht gesetzlich vorgeschrieben ist; (b) sicherstellen, dass Personen, die zur Verarbeitung der personenbezogenen Daten der Ideaform-Nutzer befugt sind, einer angemessenen Geheimhaltungspflicht unterliegen; (c) geeignete technische und organisatorische Maßnahmen umsetzen, die den Anforderungen von Abschnitt 5 und Anhang II entsprechen; (d) den Ideaform-Nutzer mit angemessenen technischen und organisatorischen Maßnahmen bei Anfragen betroffener Personen oder von staatlichen, Regulierungs- oder Aufsichtsbehörden unterstützen, jeweils ausschließlich im Zusammenhang mit der Verarbeitung der personenbezogenen Daten des Ideaform-Nutzers und unter Berücksichtigung der Ideaform vorliegenden Informationen; (e) angemessene Unterstützung bei Datenschutz-Folgenabschätzungen leisten; (f) nach Wahl des Ideaform-Nutzers alle personenbezogenen Daten des Ideaform-Nutzers bei Beendigung der Dienste löschen oder zurückgeben und vorhandene Kopien löschen, sofern keine gesetzliche Aufbewahrungspflicht oder die Aufbewahrungsrichtlinie von Ideaform dies vorschreibt; (g) die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung zu stellen und Audits gemäß Abschnitt 8 zuzulassen sowie daran mitzuwirken; und (h) gleichwertige Verpflichtungen gemäß den Anforderungen dieser DPA an Unterauftragsverarbeiter weiterzugeben. 

3.2. Kombinations- und Nutzungsbeschränkungen. Ideaform darf keine personenbezogenen Daten von Ideaform-Nutzern mit Informationen kombinieren, die es aus einer anderen Quelle erhält, wobei Ideaform jedoch personenbezogene Daten von Ideaform-Nutzern gemäß den geltenden Datenschutzgesetzen kombinieren darf. Ideaform darf personenbezogene Daten von Ideaform-Nutzern nicht für kontextübergreifende verhaltensbasierte Werbung, gezielte Werbung oder Profiling verarbeiten, um Entscheidungen zu treffen, die rechtliche oder ähnlich schwerwiegende Auswirkungen auf Einzelpersonen haben, es sei denn, dies ist nach den geltenden Datenschutzgesetzen ausdrücklich erlaubt und dient ausschließlich den geschäftlichen Zwecken der Bereitstellung der Ideaform-Dienste. Zur Klarstellung: Diese DPA gilt nicht für Daten, die sich auf die Nutzung der Dienste durch Ideaform-Nutzer beziehen, es sei denn, es handelt sich um personenbezogene Daten von Ideaform-Nutzern (z. B. gilt dies nicht für Dienstanalysen, Aktivitätsprotokolle, Nutzungsmuster usw.). 

3.3. Anweisungs-Konflikt. Sollte Ideaform der Ansicht sein, dass eine Anweisung eines Ideaform-Nutzers gegen geltendes Datenschutzrecht verstößt, wird Ideaform den Ideaform-Nutzer unverzüglich darüber informieren. 

4. CCPA-Haftungsausschluss. Im Sinne des CCPA gilt der Ideaform-Nutzer als “Unternehmen” und Ideaform als “Dienstleister”. In Bezug auf alle personenbezogenen Daten, die der Ideaform-Nutzer Ideaform gemäß dieser DPA zur Verfügung stellt, bestätigt Ideaform hiermit und erklärt sich damit einverstanden, dass es (i) die personenbezogenen Daten nicht “verkaufen” oder “weitergeben”, (ii) die personenbezogenen Daten nicht für andere Zwecke als den spezifischen Zweck der Erbringung der Ideaform-Dienste speichern, nutzen oder offenlegen wird, oder (iii) die personenbezogenen Daten nicht außerhalb der direkten Geschäftsbeziehung mit dem Ideaform-Nutzer speichern, nutzen oder offenlegen wird. Ohne das Vorstehende einzuschränken, erkennen beide Parteien an und erklären sich damit einverstanden, dass die Bereitstellung personenbezogener Daten durch den Ideaform-Nutzer an Ideaform keinen “Verkauf” personenbezogener Daten darstellt und es auch nicht die Absicht einer der Parteien ist, dass eine solche Bereitstellung einen “Verkauf” darstellt, einen “Verkauf” personenbezogener Daten darstellt; und falls der Ideaform-Nutzer gemäß der DPA eine wertvolle Gegenleistung – sei sie finanzieller oder anderer Art – erbringt, erfolgt diese Gegenleistung für die erbrachten Ideaform-Dienste und nicht für die Bereitstellung personenbezogener Daten. Ausschließlich für die Zwecke dieses Abschnitts haben die Begriffe “Unternehmen”, “Dienstleister”, “personenbezogene Daten”, “Verkauf”, „verkaufen“ und „weitergeben“ dieselbe Bedeutung wie im CCPA (Cal. Civ. Code § 1798.140) festgelegt. Die in diesem Abschnitt festgelegten Einschränkungen dürfen nicht so ausgelegt werden, dass sie Ideaform daran hindern, geltende Gesetze, Rechtsvorschriften, Verordnungen oder verbindliche Anordnungen einer staatlichen oder Aufsichtsbehörde einzuhalten.

4.1. Zusätzliche Anforderungen einzelner US-Bundesstaaten. Sofern personenbezogene Daten von Ideaform-Nutzern anderen Datenschutzgesetzen einzelner US-Bundesstaaten unterliegen, agiert Ideaform als Auftragsverarbeiter und ist verpflichtet: (a) personenbezogene Daten von Ideaform-Nutzern ausschließlich gemäß dokumentierten Anweisungen (einschließlich dieser DPA) zu verarbeiten; (b) bei der Sicherheit und bei Benachrichtigungen über Datenschutzverletzungen gemäß Abschnitt 9 mitwirken; (c) Unterauftragsverarbeiter vertraglich verpflichten, die Anforderungen dieses Abschnitts zu erfüllen; (d) bei angemessener Aufforderung die zur Nachweisführung erforderlichen Informationen bereitstellen; (e) die Löschung und Rückgabe bei Beendigung der Vereinbarung ermöglichen und unterstützen; und (f) die Verarbeitung für gezielte Werbung, Verkaufszwecke oder Profiling zur Unterstützung von Entscheidungen, die rechtliche oder ähnlich schwerwiegende Auswirkungen haben, untersagen, sofern dies nicht durch geltendes Datenschutzrecht und diese DPA gestattet ist. 

5. Vertraulichkeit und Sicherheit. Ideaform verpflichtet sich, alle personenbezogenen Daten der Ideaform-Nutzer vertraulich zu behandeln und sicherzustellen, dass Personen, die zur Verarbeitung dieser Daten befugt sind, sich zur Vertraulichkeit verpflichtet haben oder einer entsprechenden gesetzlichen Geheimhaltungspflicht unterliegen.  Ideaform wird für seine eigenen Systeme geeignete technische und organisatorische Maßnahmen zur Einhaltung des Datenschutzes umsetzen und aufrechterhalten, um ein Datenschutzniveau zu gewährleisten, das dem Risiko entspricht, das sich aus der Verarbeitung der personenbezogenen Daten der Ideaform-Nutzer im Rahmen dieser DPA ergibt, unter Berücksichtigung des Stands der Technik, die Kosten der Umsetzung sowie die Art, den Umfang, den Kontext und die Zwecke der Verarbeitung sowie die Schwere und die Eintrittswahrscheinlichkeit von Risiken für die Rechte und Freiheiten der betroffenen Personen. Bei Kündigung oder Ablauf deines Ideaform-Kontos löscht Ideaform die personenbezogenen Daten der Ideaform-Nutzer aus der Obhut und Kontrolle von Ideaform innerhalb von neunzig (90) Tagen, vorbehaltlich etwaiger gesetzlicher Aufbewahrungspflichten, und es liegt in deiner Verantwortung, alle benötigten Daten vor der Löschung abzurufen, soweit dies nach dem geltenden Datenschutzrecht zulässig ist. 

6. Anfragen; Hilfe. Ideaform wird, soweit gesetzlich zulässig, den Ideaform-Nutzer unverzüglich benachrichtigen, wenn Ideaform eine Anfrage erhält von (i) einer staatlichen oder Aufsichtsbehörde bezüglich der Verarbeitung personenbezogener Daten des Ideaform-Nutzers (eine “ behördliche Auskunftsanfrage”) oder (ii) von einer betroffenen Person, die ein Datenschutzrecht oder -privileg ausüben möchte (eine “Anfrage einer betroffenen Person”), und Ideaform wird, soweit dies praktikabel ist, versuchen, den Anfragenden an den Ideaform-Nutzer weiterzuleiten. Unter Berücksichtigung der Art der Verarbeitung unterstützt Ideaform den Ideaform-Nutzer durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung seiner Verpflichtung, auf eine behördliche Auskunftsanfrage oder eine Anfrage einer betroffenen Person zu reagieren. Sollte der Ideaform-Nutzer bei der Nutzung der Ideaform-Dienste nicht in der Lage sein, die behördliche Auskunftsanfrage oder die Anfrage einer betroffenen Person zu bearbeiten, wird Ideaform auf Anfrage des Ideaform-Nutzers wirtschaftlich angemessene Anstrengungen unternehmen, um den Ideaform-Nutzer bei der Beantwortung solcher Anfragen zu unterstützen, soweit Ideaform gesetzlich dazu verpflichtet ist. Der Ideaform-Nutzer trägt alle Kosten, die durch die hier beschriebene Unterstützung seitens Ideaform entstehen. Zur Klarstellung: Der Ideaform-Nutzer ist vollumfänglich verantwortlich und haftbar für die rechtzeitige und angemessene Beantwortung einer behördlichen Auskunftsanfrage oder eines Antrags einer betroffenen Person. 

7. Folgenabschätzungen; Konsultation. Auf Anfrage des Ideaform-Nutzers wird Ideaform (auf alleinige Kosten und zu Lasten des Ideaform-Nutzers) dem Ideaform-Nutzer wirtschaftlich angemessene Zusammenarbeit und Unterstützung gewähren, (i) die erforderlich ist, um die Verpflichtung des Ideaform-Nutzers gemäß den geltenden Datenschutzgesetzen zur Durchführung einer Datenschutz-Folgenabschätzung im Zusammenhang mit der Nutzung der Ideaform-Dienste durch den Ideaform-Nutzer zu erfüllen, soweit der Ideaform-Nutzer keinen anderweitigen Zugang zu den relevanten Informationen hat und soweit diese Informationen Ideaform zur Verfügung stehen, sowie (ii) im Zusammenhang mit einer Beratung durch eine staatliche oder Aufsichtsbehörde.

8. Prüfung. Auf deine alleinigen Kosten und zu deinen Lasten sowie unter der Voraussetzung, dass du diese DPA einhältst, darfst du (höchstens einmal pro Jahr) die Einhaltung der Datenschutzverpflichtungen von Ideaform überprüfen, vorausgesetzt, du teilst Ideaform dies mindestens dreißig (30) Tage im Voraus schriftlich mit, wobei diese Mitteilung einen detaillierten Vorschlag für den Prüfungsplan enthalten muss. Der vorgeschlagene Prüfungsplan muss den geplanten Umfang, die Dauer und den Starttermin der Prüfung beschreiben. Ideaform wird den vorgeschlagenen Prüfungsplan prüfen, dir etwaige Bedenken oder Fragen mitteilen und kooperativ mit dir zusammenarbeiten, um einen endgültigen Prüfungsplan zu vereinbaren. Ideaform wird zu solchen Prüfungen beitragen, indem es die Informationen und Unterstützung bereitstellt, die zur Durchführung der Prüfung angemessen erforderlich sind, einschließlich aller relevanten Aufzeichnungen über Verarbeitungsaktivitäten, die für deine Nutzung der Ideaform-Dienste relevant sind, sofern dir diese Aufzeichnungen nicht anderweitig über die Ideaform-Dienste zur Verfügung stehen. Die Prüfung muss während der regulären Geschäftszeiten durchgeführt werden, darf die Geschäftstätigkeiten von Ideaform nicht unangemessen beeinträchtigen und muss gemäß dem vereinbarten endgültigen Prüfungsplan sowie den internen Richtlinien von Ideaform erfolgen. Du stellst Ideaform alle im Rahmen einer Prüfung erstellten Prüfungsberichte zur Verfügung, sofern dies nicht durch geltendes Datenschutzrecht untersagt ist. Du darfst die Prüfberichte ausschließlich zum Zweck der Erfüllung deiner behördlichen Prüfungsanforderungen verwenden. Die Prüfberichte sind vertrauliche Informationen der Parteien im Rahmen dieser DPA. Falls die von Ideaform im Zusammenhang mit einer solchen Prüfung angeforderte Unterstützung den Einsatz von Ressourcen erfordert, die sich von den im Rahmen dieser DPA von Ideaform geforderten Ressourcen unterscheiden oder diese ergänzen, musst du diese zusätzlichen Ressourcen zu den jeweils aktuellen Sätzen von Ideaform bezahlen.

9. Sicherheitsvorfall. Nach Feststellung einer Verletzung des Schutzes personenbezogener Daten wird Ideaform: (i) unter Berücksichtigung der Art der Verarbeitung der personenbezogenen Daten des Ideaform-Nutzers und der Ideaform vorliegenden Informationen den Ideaform-Nutzer innerhalb von zweiundsiebzig (72) Stunden oder gemäß dem in den geltenden Datenschutzgesetzen festgelegten Zeitrahmen über die Verletzung des Schutzes personenbezogener Daten informieren, (ii) dem Ideaform-Nutzer zeitnah Informationen über die Verletzung des Schutzes personenbezogener Daten zur Verfügung stellen, sobald diese bekannt werden oder vom Ideaform-Nutzer in angemessener Weise angefordert werden, und (iii) unverzüglich angemessene Maßnahmen ergreifen, um eine Verletzung des Schutzes personenbezogener Daten einzudämmen, zu untersuchen und deren Folgen zu mindern. Der Ideaform-Nutzer erkennt an, dass Ideaform den Inhalt der personenbezogenen Daten des Ideaform-Nutzers nicht auswertet, um Informationen zu identifizieren, die bestimmten gesetzlichen Meldepflichten bei Datenschutzverletzungen unterliegen, und der Ideaform-Nutzer ist allein dafür verantwortlich, die für ihn geltenden Gesetze zur Meldung von Datenschutzverletzungen einzuhalten und etwaige Meldepflichten gegenüber Dritten im Zusammenhang mit einer Datenschutzverletzung zu erfüllen. Sofern nicht durch ein geltendes Datenschutzgesetz anders vorgeschrieben, vereinbaren die Parteien Folgendes: (i) Ideaform wird keine Dritten über eine Verletzung des Schutzes personenbezogener Daten informieren oder anderweitig eine öffentliche Erklärung dazu abgeben, und (ii) sich in gutem Glauben bei der Ausarbeitung des Inhalts etwaiger damit verbundener öffentlicher Erklärungen oder erforderlicher Benachrichtigungen an die betroffenen Personen und/oder der Meldungen an die zuständigen Aufsichtsbehörden abzustimmen.  Die hierin festgelegten Benachrichtigungspflichten von Ideaform dürfen in keiner Weise und in keiner Form als Eingeständnis von Schuld, Fahrlässigkeit oder Fehlverhalten ausgelegt oder verstanden werden.

10. Unterauftragsverarbeiter. Soweit dies erforderlich ist, damit Ideaform seine vertraglichen Verpflichtungen aus dieser DPA erfüllen kann, ermächtigst du Ideaform hiermit, die in Anhang III genannten Unterauftragsverarbeiter (die “Liste der Unterauftragsverarbeiter”). Ideaform wird die betroffenen Ideaform-Nutzer über Änderungen an dieser Liste informieren, indem es die Liste der Unterauftragsverarbeiter aktualisiert, und ihnen die Möglichkeit geben, innerhalb von dreißig (30) Tagen nach der Aktualisierung der Liste der Unterauftragsverarbeiter aus triftigen Gründen, die den Schutz personenbezogener Daten betreffen, Einspruch gegen die Beauftragung des neuen Unterauftragsverarbeiters einzulegen. Wenn der Ideaform-Nutzer Ideaform einen solchen Widerspruch mitteilt, werden die Parteien die Bedenken des Ideaform-Nutzers in gutem Glauben erörtern, um eine wirtschaftlich angemessene Lösung zu finden. Kann keine solche Lösung gefunden werden, wird Ideaform nach eigenem Ermessen entweder die neuen Unterauftragsverarbeiter nicht beauftragen oder dem Ideaform-Nutzer gestatten, die betroffenen Dienste gemäß den Kündigungsbestimmungen dieser DPA auszusetzen oder zu kündigen. Ideaform erlegt den Unterauftragsverarbeitern Verpflichtungen auf, die mindestens den in dieser DPA festgelegten Schutzstandards entsprechen, und haftet gegenüber dem Ideaform-Nutzer in vollem Umfang für die Erfüllung dieser Verpflichtungen durch jeden Unterauftragsverarbeiter. 

11. Internationale Datenübermittlungen

11.1. Datenübermittlungen (EU-Standardvertragsklauseln). Soweit personenbezogene Daten von Ideaform-Nutzern aus dem Europäischen Wirtschaftsraum (EWR) stammen, müssen die Parteien bei der Übermittlung und Verarbeitung dieser personenbezogenen Daten von Ideaform-Nutzern die EU-Standardvertragsklauseln einhalten. Gelten die EU-Standardvertragsklauseln zwischen den Parteien gemäß diesem Abschnitt 11.1 dieser DPA, gelten deren Bestimmungen als durch Verweis in diese DPA aufgenommen. Soweit dies nach den geltenden Datenschutzvorschriften erforderlich ist, schließen die Parteien die EU-Standardvertragsklauseln als separates Dokument ab und setzen diese in Kraft. Wenn die Parteien die EU-Standardvertragsklauseln gemäß diesem Abschnitt 11.1 dieser DPA anwenden und einbeziehen, gilt Folgendes:

11.1.1 Für die EU-Standardvertragsklauseln gelten in allen anwendbaren Fällen die Bestimmungen von Modul 2 (Übermittlung vom Verantwortlichen an den Auftragsverarbeiter), wobei der Ideaform-Nutzer und/oder die EU-verbundenen Unternehmen des Ideaform-Nutzers als Datenexporteur und Ideaform als Datenimporteur gelten.

11.1.2. Jede Partei erkennt an und erklärt sich damit einverstanden, dass Ziffer 7 (Optional – Anknüpfungsklausel) der EU-Standardvertragsklauseln als in diesen Vertrag aufgenommen gilt und für die Parteien sowie für Dritte gilt.

11.1.3. Im Sinne von Ziffer 9(a) (Einsatz von Unterauftragsverarbeitern) der EU-Standardvertragsklauseln vereinbaren die Parteien, dass Option 2 (Allgemeine schriftliche Ermächtigung) für die Parteien gilt und gemäß Abschnitt 10 und Anhang III dieser DPA durchgesetzt wird.

11.1.4. Im Sinne von Ziffer 11 (Rechtsbehelfe) der EU-Standardvertragsklauseln vereinbaren die Parteien, dass der optionale Wortlaut nicht in diese aufgenommen wird und daher für die Parteien nicht gilt.

11.1.5. Im Sinne von Ziffer 17 (Anwendbares Recht) der EU-Standardvertragsklauseln vereinbaren die Parteien, dass die EU-Standardvertragsklauseln irischem Recht unterliegen, und wählen zu diesem Zweck Ziffer 17, “Option 1”, aus.

11.1.6. Im Sinne von Ziffer 18 (Gerichtsstand und Gerichtsbarkeit) der EU-Standardvertragsklauseln vereinbaren die Parteien, dass alle Streitigkeiten, die sich aus den EU-Standardvertragsklauseln ergeben, von den irischen Gerichten entschieden werden.

11.1.7. Anhang I der EU-Standardvertragsklauseln gilt mit den in Anlage I zu dieser DPA aufgeführten Informationen als ausgefüllt. 

11.1.8. Anhang II der EU-Standardvertragsklauseln gilt mit den in Anlage II zu dieser DPA aufgeführten Informationen als ausgefüllt.

11.1.9. Anhang III der EU-Standardvertragsklauseln gilt mit den in Anlage III dieser DPA aufgeführten Informationen als ausgefüllt, und über Ersatz-Auftragsverarbeiter ist gemäß Abschnitt 10 dieser DPA zu vereinbaren. Ideaform darf personenbezogene Daten von Ideaform-Nutzern, die im Rahmen der EU-Standardvertragsklauseln erhalten wurden, nicht an einen Unterauftragsverarbeiter außerhalb des EWR übermitteln (noch darf Ideaform die Übermittlung solcher personenbezogenen Daten von Ideaform-Nutzern gestatten), es sei denn, der Unterauftragsverarbeiter (i) ist in einem Land ansässig, dem die Europäische Kommission einen Angemessenheitsstatus zuerkannt hat, oder (ii) die vorherige schriftliche Einwilligung des Ideaform-Nutzers in Bezug auf diese Übermittlung eingeholt hat und die erforderlichen Maßnahmen umsetzt und aufrechterhält, um sicherzustellen, dass die Übermittlung im Einklang mit dem geltenden Datenschutzrecht steht; zu diesen Maßnahmen können (ohne Einschränkung) die Einholung einer Genehmigung für verbindliche Unternehmensregeln durch den Unterauftragsverarbeiter gemäß dem Datenschutzrecht oder den Abschluss der EU-Standardvertragsklauseln, Modul 3 (Auftragsverarbeiter zu Auftragsverarbeiter), zwischen dem Unterauftragsverarbeiter und Ideaform.

11.1.10. Risikobewertungen bei Transfers. Soweit erforderlich, dokumentiert Ideaform auf begründete Anfrage eine an Klausel 14 der EU-Standardvertragsklauseln angepasste Risikobewertung für die Datenübermittlung und stellt diese unter Wahrung der Vertraulichkeit zur Verfügung. 

11.2. Transfers in Großbritannien. Soweit personenbezogene Daten von Ideaform-Nutzern aus dem Vereinigten Königreich stammen, verpflichten sich die Parteien, den UK-Zusatz zu den EU-Standardvertragsklauseln oder, falls zutreffend, das IDTA auf die Übermittlung und Verarbeitung dieser personenbezogenen Daten von Ideaform-Nutzern anzuwenden und nehmen hiermit den geltenden britischen Übermittlungsmechanismus durch Verweis in diese DPA auf. Falls sich die Parteien nicht mehr auf den gewählten britischen Übermittlungsmechanismus als geeigneten Datenübermittlungsmechanismus stützen können, vereinbaren die Parteien unverzüglich einen alternativen Datenübermittlungsmechanismus als Ersatz für den damals geltenden Mechanismus, wobei die Wahl dem Ideaform-Nutzer obliegt.  Wenn die Parteien den UK-Zusatz oder das IDTA gemäß diesem Abschnitt 11.2 dieser DPA anwenden und einbeziehen, gilt Folgendes:

11.2.1. Im Rahmen der geltenden britischen Regelung vereinbaren die Parteien, dass das Recht von England und Wales maßgeblich ist.

11.2.2. Im Sinne der “Zusätzlichen Handelsklauseln” der britischen Standardvertragsklauseln gilt die optionale “Haftungsfreistellungsklausel” als darin aufgenommen und findet auf die Parteien Anwendung.

11.2.3. Die Anhänge 1 und 2 des im Vereinigten Königreich geltenden Mechanismus gelten als mit den Informationen vervollständigt, die – soweit zutreffend – in Abschnitt 11.1 dieser DPA und in den Anlagen I bis III dieser DPA aufgeführt sind.

11.2.4. Ideaform darf keine im Rahmen des UK-Nachtrags oder des IDTA erhaltenen personenbezogenen Daten von Ideaform-Nutzern an einen Unterauftragsverarbeiter außerhalb des Vereinigten Königreichs weitergeben (oder eine solche Weitergabe zulassen), es sei denn, der Unterauftragsverarbeiter (i) ist in einem Land ansässig, dem die britischen Behörden einen Angemessenheitsstatus zuerkannt haben, oder (ii) die vorherige schriftliche Einwilligung des Ideaform-Nutzers zu dieser Übermittlung eingeholt hat und die erforderlichen Maßnahmen umsetzt und aufrechterhält, um sicherzustellen, dass die Übermittlung im Einklang mit dem geltenden Datenschutzrecht steht; zu diesen Maßnahmen können (ohne Einschränkung) die Einholung einer Genehmigung für verbindliche Unternehmensregeln durch den Unterauftragsverarbeiter gemäß den Datenschutzgesetzen oder die Unterzeichnung der vom britischen Staatssekretär oder vom britischen Informationsbeauftragten (und vom britischen Parlament) angenommenen oder genehmigten Standardvertragsklauseln durch den Unterauftragsverarbeiter und Ideaform.

11.3. Transfers in der Schweiz. Soweit personenbezogene Daten von Ideaform-Nutzern aus der Schweiz stammen, verpflichten sich die Parteien, die Bestimmungen der EU-Standardvertragsklauseln, wie in Abschnitt 11.1 dieser DPA dargelegt, auf die Übermittlung und Verarbeitung dieser personenbezogenen Daten von Ideaform-Nutzern anzuwenden.  Wenn die EU-Standardvertragsklauseln gemäß diesem Abschnitt 11.3 zwischen den Parteien anwendbar sind, gelten ihre Bestimmungen als durch Verweis in diese DPA aufgenommen. Wenn die Parteien die EU-Standardvertragsklauseln (wie in Abschnitt 11.1 dieser DPA dargelegt) gemäß diesem Abschnitt 11.3 anwenden und einbeziehen, gilt Folgendes, sofern dies nach dem Schweizer Bundesgesetz über den Datenschutz (BDSG) erforderlich ist:

11.3.1. Verweise auf die DSGVO in den EU-Standardvertragsklauseln sind als Verweise auf das DSG zu verstehen, sofern die Datenübermittlungen ausschließlich dem DSG und nicht der DSGVO unterliegen.

11.3.2. Der Begriff “Mitgliedstaat” in den EU-Standardvertragsklauseln darf nicht so ausgelegt werden, dass betroffene Personen in der Schweiz daran gehindert werden, ihre Rechte in der Schweiz gemäß Klausel 18(c) der EU-Standardvertragsklauseln geltend zu machen, sofern die Schweiz ihr gewöhnlicher Aufenthaltsort ist.

11.3.3. Im Sinne von Anhang I(C) der EU-Standardvertragsklauseln gilt Folgendes: (i) Wenn die Datenübermittlung ausschließlich dem Schweizer DSG (und nicht der DSGVO) unterliegt, ist die Aufsichtsbehörde der Eidgenössische Datenschutz- und Informationsbeauftragte; und (ii) wenn die Übermittlung sowohl dem DSG als auch der DSGVO unterliegt, ist die Aufsichtsbehörde der Schweizer Bundesbeauftragte für Datenschutz und Information, soweit die Übermittlung dem Schweizer DSG unterliegt, und die in Anhang I dieser DPA genannte Aufsichtsbehörde, soweit die Übermittlung der DSGVO unterliegt.

11.4. Kanada-Transfers. Ideaform darf personenbezogene Daten von Ideaform-Nutzern nicht außerhalb Kanadas übermitteln oder Zugriff darauf gewähren, es sei denn, dies geschieht in Übereinstimmung mit den geltenden kanadischen Datenschutzgesetzen, einschließlich des PIPEDA und aller im Wesentlichen ähnlichen Provinzgesetze. Bei jeder grenzüberschreitenden Übermittlung oder jedem grenzüberschreitenden Zugriff gilt Folgendes: Ideaform: (i) bleibt für die personenbezogenen Daten verantwortlich und gewährleistet durch verbindliche schriftliche Vereinbarungen sowie technische und organisatorische Maßnahmen ein Schutzniveau, das mit den Anforderungen der geltenden kanadischen Datenschutzgesetze vergleichbar ist; (ii) teilt dem Ideaform-Nutzer mit, in welchen Rechtsordnungen die personenbezogenen Daten des Ideaform-Nutzers verarbeitet werden; (iii) überträgt Verpflichtungen, die nicht weniger Schutz bieten als die in dieser DPA festgelegten, an jeden Unterauftragsverarbeiter der personenbezogenen Daten der Ideaform-Nutzer; (iv) den Ideaform-Nutzer unverzüglich benachrichtigen, wenn es eine rechtsverbindliche Anfrage einer ausländischen Behörde auf Zugriff auf die personenbezogenen Daten des Ideaform-Nutzers erhält (sofern dies nicht gesetzlich verboten ist), und zu weit gefasste oder rechtswidrige Anfragen anfechten; und (v) muss, sofern dies nach geltendem Datenschutzrecht erforderlich ist, den Ideaform-Nutzer bei allen notwendigen grenzüberschreitenden Bewertungen und individuellen Benachrichtigungen unterstützen. Ideaform muss Maßnahmen ergreifen, um unbefugten Zugriff während der Übermittlung und Speicherung zu verhindern, und Aufzeichnungen über grenzüberschreitende Übermittlungen führen. Die Aufsichtsbehörde ist das Office of the Privacy Commissioner of Canada (OPC). 

11.5. Sonstige Überweisungen. Soweit personenbezogene Daten von Ideaform-Nutzern ihren Ursprung außerhalb des EWR, der Schweiz oder des Vereinigten Königreichs haben und die Parteien beabsichtigen, diese personenbezogenen Daten von Ideaform-Nutzern grenzüberschreitend zu übermitteln und zu verarbeiten, verpflichten sich die Parteien zudem, gegebenenfalls die Bestimmungen der EU-Standardvertragsklauseln oder des UK-Addendums/IDTA auf diese Übermittlung und Verarbeitung anzuwenden, sofern die EU-Standardvertragsklauseln oder das UK-Addendum/IDTA gesetzlich vorgeschrieben und ausreichend sind, um die Anforderungen des geltenden Datenschutzrechts für die grenzüberschreitende Übermittlung und Verarbeitung personenbezogener Daten zu erfüllen.

11.6. Haftungsausschluss zur Überwachung. Ideaform versichert, dass es Richtlinien und Verfahren beibehalten wird, die angemessen darauf ausgelegt sind, behördliche Auskunftsersuchen zu prüfen und gegebenenfalls zu dokumentieren sowie unrechtmäßige oder unverhältnismäßige Ersuchen im gesetzlich zulässigen Rahmen anzufechten. Nichts in dieser DPA verlangt die Herausgabe von Informationen, die die Sicherheit gefährden oder gegen strafverfolgungsrechtliche Beschränkungen verstoßen würden. 

Anhang I (Datenverarbeitungsvorgänge)

A. Liste der Parteien:

Name (Datenexporteur)	Der Ideaform-Nutzer
Adresse	Wie im Ideaform-Benutzerkonto angegeben
Name, Position und Kontaktdaten der Ansprechperson	Wie im Ideaform-Benutzerkonto angegeben
Tätigkeiten, die für die gemäß diesen Klauseln übermittelten Daten relevant sind	Nachstehend aufgeführt (Abschnitt B. Beschreibung der Übertragung)
Unterschrift und Datum	Durch Ausführen der Allgemeine Geschäftsbedingungen von der diese DPA ein integraler Bestandteil ist
Rolle (Verantwortlicher / Auftragsverarbeiter)	Ideaform User ist der Verantwortliche

Name (Datenimporteur)	Ideaform, Inc.
Adresse	199 Bay St., Suite 5300, Commerce Court West, Toronto, Ontario M5L 1B9
Name, Position und Kontaktdaten der Ansprechperson	Betreff: Datenschutzprivacy@format.com
Tätigkeiten, die für die gemäß diesen Klauseln übermittelten Daten relevant sind	Nachstehend aufgeführt (Abschnitt B. Beschreibung der Übertragung)
Unterschrift und Datum	Durch Ausführen der Allgemeine Geschäftsbedingungen von der diese DPA ein integraler Bestandteil ist
Rolle (Verantwortlicher / Auftragsverarbeiter)	Ideaform ist ein Auftragsverarbeiter

B. Beschreibung der Verarbeitung und Übermittlung: Sofern in einer Leistungsbeschreibung, einem Bestellformular oder ähnlichen Unterlagen nichts anderes festgelegt ist, lautet die Beschreibung der übermittelten personenbezogenen Daten wie folgt:

Ideaform-Dienstleistungen	Zugriff auf und Nutzung der Ideaform-Plattform und der damit verbundenen Dienste gemäß den Nutzungsbedingungen.
Kategorien von betroffenen Personen, deren personenbezogene Daten übermittelt werden:	Der Ideaform-Nutzer legt allein fest, zu welchen Kategorien von betroffenen Personen die personenbezogenen Daten gehören, die von Ideaform verarbeitet werden. Dazu gehören die folgenden Kategorien von betroffenen Personen: die Mitarbeiter des Ideaform-Nutzers, Auftragnehmer und Endnutzer der Ideaform-Dienste.
Kategorien der übermittelten personenbezogenen Daten:	Alle personenbezogenen Daten, die Ideaform über die Ideaform-Dienste zur Verfügung gestellt werden, sei es durch (oder auf Anweisung von) Ideaform-Nutzern oder deren betroffene Personen.  Personenbezogene Daten können Ideaform auch von Anbietern von Drittanbieterprodukten übermittelt werden, um die Integration zwischen den Ideaform-Diensten und den Drittanbieterprodukten zu ermöglichen (z. B. kann Google Namen, E-Mail-Adressen und andere Kontoinformationen von Nutzern bereitstellen, wenn die Integration mit Google Fotos und Google Kalender aktiviert ist). Zu den personenbezogenen Daten können unter anderem gehören: Name; Kontaktdaten (Telefonnummer, Adresse, E-Mail-Adresse usw.); Informationen zu betroffenen Personen, die Produkte des Ideaform-Nutzers beziehen (Adresse, Empfänger, Versand- und Lieferdetails, Geräteinformationen usw.);Zahlungsdaten, die zur Abwicklung von Käufen über das Konto eines Ideaform-Nutzers verwendet werden; allgemeine Kontoinformationen der Dienste (Zugangsdaten für das Konto, IP-Adresse (für Anmeldeprotokolle), Zahlungs- und Rechnungsdaten usw.); sowie Kontoinformationen zu Produkten von Drittanbietern.
Werden sensible Daten übertragen? Wenn ja, welche Einschränkungen und Sicherheitsmaßnahmen gelten dabei:	Keine, es sei denn, der Ideaform-Nutzer oder die betroffenen Personen des Ideaform-Nutzers entscheiden sich nach eigenem Ermessen dafür, sensible Daten über die Dienste an Ideaform zu übermitteln. In Anhang II findest du die Sicherheitsmaßnahmen, die ergriffen werden, falls sensible Daten von Ideaform verarbeitet werden.
Häufigkeit der Überweisung:	Fortlaufend
Art der Verarbeitung:	Ideaform verarbeitet personenbezogene Daten zu folgenden Zwecken: (i) Bereitstellung der Ideaform-Dienste gemäß den Nutzungsbedingungen und dieser DPA (nämlich Bereitstellung einer Online-Plattform für Ideaform-Nutzer, die es dem Ideaform-Nutzer und den betroffenen Personen des Ideaform-Nutzers (Kunden, Website-Besucher und andere Nutzer) ermöglicht, Kunstwerke zu durchsuchen, auszustellen, zu organisieren, zu speichern, zu verkaufen, zu tauschen und zu teilen); (ii) die Bereitstellung des entsprechenden technischen Supports für die Ideaform-Dienste; (iii) die Ermöglichung und Unterstützung von Integrationen zwischen den Diensten und Produkten von Drittanbietern; (iv) die Ermöglichung und Erleichterung der Nutzung der Dienste durch die betroffenen Personen der Ideaform-Nutzer, einschließlich, aber nicht beschränkt auf das Tätigen von Käufen; und (v) die Verbesserung unserer Ideaform-Dienste.
Zweck der Übermittlung und Verarbeitung:	Personenbezogene Daten werden übermittelt und verarbeitet, damit Ideaform die Dienste für Ideaform-Nutzer gemäß den Nutzungsbedingungen und dieser DPA bereitstellen kann.
Der Zeitraum, für den die personenbezogenen Daten aufbewahrt werden:	Für die Dauer der Nutzungsbedingungen sowie für die anschließende Kündigungs- und Übergangsphase, wie in den Nutzungsbedingungen festgelegt.
Bei Übermittlungen an Unterauftragsverarbeiter: Gegenstand, Art und Dauer der Verarbeitung:	Gegenstand, Art und Dauer der Verarbeitung personenbezogener Daten durch Unterauftragsverarbeiter richten sich nach Abschnitt 10 und Anhang III dieser DPA.
Zuständige Aufsichtsbehörde	Wie in Abschnitt 11 festgelegt.

* * * * * * * * *

Anhang II (Sicherheitsmaßnahmen)

Ideaform wird geeignete technische und organisatorische Maßnahmen umsetzen und aufrechterhalten, um ein Datenschutzniveau zu gewährleisten, das dem Risiko angemessen ist, das sich aus der Verarbeitung der personenbezogenen Daten der Ideaform-Nutzer im Rahmen dieser DPA ergibt, unter Berücksichtigung des Stands der Technik, die Kosten für die Umsetzung sowie die Art, den Umfang, den Kontext und die Zwecke der Verarbeitung sowie die Schwere und die Eintrittswahrscheinlichkeit von Risiken für die Rechte und Freiheiten der betroffenen Personen, wozu Folgendes gehört:

• Verschlüsselung personenbezogener Daten.
• Maßnahmen zur Gewährleistung der fortlaufenden Vertraulichkeit, Integrität, Verfügbarkeit und Ausfallsicherheit der Verarbeitungssysteme und -dienste.
• Maßnahmen zur Gewährleistung, dass die Verfügbarkeit und der Zugriff auf die personenbezogenen Daten der Ideaform-Nutzer im Falle eines physischen oder technischen Vorfalls zeitnah wiederhergestellt werden können.
• Verfahren zur regelmäßigen Prüfung, Beurteilung und Bewertung der Wirksamkeit technischer und organisatorischer Maßnahmen, um die Sicherheit der Verarbeitung zu gewährleisten.
• Maßnahmen zum Schutz der Daten während der Speicherung.
• Maßnahmen zur Gewährleistung der physischen Sicherheit der Standorte, an denen personenbezogene Daten von Ideaform-Nutzern gespeichert werden.
• Maßnahmen zur Sicherstellung der Systemkonfiguration, einschließlich der Standardkonfiguration.
• Maßnahmen zur internen IT- und IT-Sicherheits-Governance und -Verwaltung.
• Maßnahmen zur Zertifizierung/Sicherung von Prozessen und Produkten.
• Maßnahmen zur Gewährleistung einer begrenzten Datenspeicherung.
• Maßnahmen zur Gewährleistung der Rechenschaftspflicht.
• Maßnahmen zur Gewährleistung der Datenübertragbarkeit und zur Sicherstellung der Löschung.

Die Verpflichtungen gegenüber Unterauftragsverarbeitern sind in der DPA geregelt.

* * * * * * * * *

Anlage III (Liste der Unterauftragsverarbeiter)

Die Liste der Unterauftragnehmer von Ideaform findest du unter www.format.com/third-party-providers.