MuchBetter Business
DATENSCHUTZERKLÄRUNG

1. Begriffsbestimmungen

Alle in diesem Datenschutzzusatz („DPA“) nicht definierten Begriffe in Großbuchstaben haben die in der Vereinbarung festgelegte Bedeutung.

1. Affiliate bezeichnet jede Person oder Einrichtung, die eine Vertragspartei direkt oder indirekt kontrolliert, von ihr kontrolliert wird oder mit ihr unter gemeinsamer Kontrolle steht. Im Sinne dieser Definition bezeichnet „Kontrolle“ (einschließlich der Begriffe „kontrollierend“, „kontrolliert von“ und „unter gemeinsamer Kontrolle mit“) die Befugnis, die Geschäfte der betreffenden Person oder Einrichtung zu leiten oder zu lenken, sei es durch den Besitz stimmberechtigter Wertpapiere, durch Vertrag oder auf andere Weise.
2. Vereinbarung bezeichnet den MuchBetter-Geschäftskontodienstleistungsvertrag zwischen MIR und dem Kontoinhaber, der den Zugriff auf personenbezogene Daten oder deren anderweitige Verarbeitung beinhaltet;
3. Zugelassene Gerichtsbarkeit bezeichnet einen Mitgliedstaat des EWR oder eine andere Gerichtsbarkeit, die von der Europäischen Kommission oder durch britische Angemessenheitsvorschriften gemäß Abschnitt 17A des Data Protection Act 2018 oder den Absätzen 4 und 5 von Anhang 21 des Data Protection Act 2018, je nachdem, was zutrifft, als über einen angemessenen Rechtsschutz für Daten verfügend anerkannt wird;
4. Verstoßvorfall bezeichnet eine Sicherheitsverletzung, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust oder zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugriff auf übermittelte, gespeicherte oder auf sonstige Weise verarbeitete personenbezogene Daten führt;
5. Datenschutzgesetze bezeichnet sämtliche anwendbaren in- und ausländischen Gesetze, Regeln, Richtlinien und Vorschriften in Bezug auf Datenschutz, Datensicherheit und/oder den Schutz personenbezogener Daten, einschließlich der Richtlinie 2002/58/EG über Datenschutz und elektronische Kommunikation (und der jeweiligen lokalen Umsetzungsgesetze) bezüglich der Verarbeitung personenbezogener Daten und des Schutzes der Privatsphäre im Bereich der elektronischen Kommunikation (Richtlinie über Datenschutz und elektronische Kommunikation), einschließlich aller Änderungen oder Ersetzungen derselben, einschließlich der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 („DSGVO“) und einschließlich des Data Protection Act 2018 und der DSGVO, da diese gemäß Abschnitt 3 des European Union (Withdrawal) Act 2018 („UK GDPR“) Teil des Rechts von England und Wales, Schottland und Nordirland ist.
6. EWR bezeichnet die Länder, die Mitglieder des Europäischen Wirtschaftsraums sind.
7. Mir bedeutet MIR Limited UK Ltd, Anbieter von MuchBetter Business Account Services
8. Personenbezogene Daten „Personenbezogene Daten“ bezeichnet alle Informationen, die sich auf eine identifizierbare Person beziehen oder mit ihr in Verbindung gebracht werden können. Hierzu gehören alle Informationen, die mit einer Person verknüpft werden können oder zur direkten oder indirekten Identifizierung einer natürlichen Person verwendet werden können. Personenbezogene Daten gelten unabhängig von ihrer Quelle als vertrauliche Informationen.
9. Verfahren bezeichnet jeden Vorgang oder jede Vorgangsreihe, die im Zusammenhang mit personenbezogenen Daten durchgeführt werden, unabhängig davon, ob diese automatisiert sind oder nicht, wie z. B. Erhebung, Aufzeichnung, Organisation, Speicherung, Anpassung oder Veränderung, Zugriff, Abfrage, Abfrage, Verwendung, Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, Abgleich oder Verknüpfung, Sperrung, Löschung oder Vernichtung. „Verarbeiten“ oder „Verarbeitung“ sind entsprechend auszulegen.
10. Standardvertragsklauseln oder „SCCs“ das anwendbare Modul der Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 4. Juni 2021 in der jeweils gültigen Fassung.
11. UK-Nachtrag bezeichnet den Nachtrag zu den Standardvertragsklauseln für den internationalen Datentransfer, der am 21. März 2022 in Kraft getreten ist.

2. Anwendung dieser DPA

1. Diese DPA gilt nur, sofern alle der folgenden Bedingungen erfüllt sind:
   
   1. Jede Partei verarbeitet personenbezogene Daten, die ihr von der anderen Partei im Rahmen der Vereinbarung zur Verfügung gestellt werden.
   2. Für die Verarbeitung personenbezogener Daten gelten die Datenschutzgesetze.
2. Diese DPA gilt nur für die Dienste, die die Parteien in der Vereinbarung vereinbart haben und in die die DPA durch Bezugnahme einbezogen wird.

3. Datenschutz und Privatsphäre

1. Soweit eine Partei auf personenbezogene Daten zugreift, die der anderen Partei zur Verfügung gestellt wurden, oder diese anderweitig verarbeitet, ist diese Partei verpflichtet:
   
   1. Seien Sie ein unabhängiger Verantwortlicher für die personenbezogenen Daten und bestimmen Sie die Zwecke und Mittel der Verarbeitung gemäß der Vereinbarung und den Datenschutzgesetzen.
   2. Verarbeiten Sie die personenbezogenen Daten nur gemäß den Anforderungen der Datenschutzgesetze und führen Sie, wie von den Datenschutzgesetzen gefordert, genaue schriftliche Aufzeichnungen über alle Verarbeitungsaktivitäten personenbezogener Daten, die im Rahmen der Vereinbarung durchgeführt werden.
   3. Unbeschadet des Vorstehenden ist die Partei dafür verantwortlich, der betroffenen Person alle gemäß den Datenschutzgesetzen erforderlichen Informationen bereitzustellen und der betroffenen Person die Ausübung ihrer Rechte gemäß den Datenschutzgesetzen zu ermöglichen. Darüber hinaus ist sie verpflichtet, mit der anderen Partei in angemessener Weise zu kooperieren und sie bei der Erfüllung des Vorstehenden sowie aller gesetzlichen oder behördlichen Verpflichtungen zu unterstützen.
   4. Implementieren und pflegen Sie wirtschaftlich angemessene und geeignete physische, technische und organisatorische Sicherheitsmaßnahmen, um personenbezogene Daten vor versehentlicher oder unrechtmäßiger Zerstörung, versehentlichem Verlust, Veränderung, unbefugter Offenlegung oder Zugriff auf übermittelte, gespeicherte oder anderweitig verarbeitete personenbezogene Daten sowie allen anderen unrechtmäßigen Formen der Verarbeitung zu schützen.
   5. Erfüllen Sie alle Meldepflichten gegenüber der Aufsichtsbehörde im Falle einer Verletzung des Schutzes personenbezogener Daten sowie die Kommunikationspflichten gegenüber den betroffenen Personen gemäß den Datenschutzgesetzen.
   6. Benachrichtigen Sie die andere Partei unverzüglich und spätestens vierundzwanzig (24) Stunden, nachdem Sie von einem Verstoß erfahren haben.
2. Die Partei, die die personenbezogenen Daten einer betroffenen Person ursprünglich erhält, ist dafür verantwortlich, alle erforderlichen Einwilligungen der betroffenen Person einzuholen (jeweils soweit zur Einhaltung der Datenschutzgesetze erforderlich) und die betroffene Person vor der Erhebung der personenbezogenen Daten (z. B. „Datenschutzhinweis“ oder „Datenschutzrichtlinie“) entsprechend den Datenschutzgesetzen zu informieren. Dies berührt nicht die datenschutzrechtlichen Pflichten der anderen Partei (z. B. die Verpflichtung, die betroffene Person bei der Verarbeitung personenbezogener Daten zu informieren).
3. Jede Partei kann Unterauftragnehmer, einschließlich verbundener Unternehmen, damit beauftragen, personenbezogene Daten in ihrem Namen zu verarbeiten („Unterauftragsverarbeiter“), um ihre Verpflichtungen und Dienstleistungen gemäß der Vereinbarung zu erfüllen, vorausgesetzt, dass: (i) die Beauftragung einer schriftlichen Vereinbarung mit dem beauftragten Unterauftragsverarbeiter unterliegt, die gegebenenfalls Bedingungen enthält, die einen gleichwertigen Schutz personenbezogener Daten gewährleisten, wie in diesem Datenschutzzusatz vorgesehen; und (ii) jede Partei für die Handlungen oder Unterlassungen ihrer eigenen Unterauftragsverarbeiter im gleichen Umfang haftet, wie sie für ihre eigenen Handlungen oder Unterlassungen gemäß diesem Datenschutzzusatz, der Vereinbarung und den Datenschutzgesetzen haftet.

4. Weitergabe personenbezogener Daten

Die Parteien dürfen personenbezogene Daten nicht außerhalb einer genehmigten Gerichtsbarkeit verarbeiten oder dorthin übermitteln.

1. Wenn eine Partei personenbezogene Daten in einer anderen als einer genehmigten Gerichtsbarkeit verarbeiten oder dorthin übertragen möchte, gilt dies als Beitritt zu den SCCs, gegebenenfalls zusammen mit dem UK-Nachtrag. In diesem Fall gilt: (i) der UK-Nachtrag und die SCCs werden durch Bezugnahme in dieses Dokument aufgenommen; und (ii) die Partei, die die personenbezogenen Daten offenlegt, gilt als Exporteur und die Partei, die die personenbezogenen Daten erhält, gilt als Importeur (wie diese Begriffe darin definiert sind).

5. Allgemeines

1. Wenn eines der Datenschutzgesetze durch neue oder geänderte Datenschutzgesetze (einschließlich aller diesbezüglichen Entscheidungen oder Auslegungen eines zuständigen Gerichts oder einer Regierungsbehörde) ersetzt wird, gelten die neuen oder geänderten Datenschutzgesetze als in diesen Datenschutzzusatz aufgenommen und beide Parteien werden unverzüglich mit der Einhaltung dieser Datenschutzgesetze beginnen.
2. Im Falle eines Konflikts oder einer Unstimmigkeit zwischen den Bedingungen dieser DPA und den Standardvertragsklauseln bzw. dem UK-Nachtrag (je nach Anwendbarkeit) gelten die Bedingungen der Standardvertragsklauseln bzw. des UK-Nachtrags (je nach Anwendbarkeit).

Anhang I der Standardvertragsklauseln

1. Anhang 1 ist Teil der DPA und legt die vereinbarte Auslegung der jeweiligen Verpflichtungen der Parteien gemäß dem UK Addendum und/oder den Standardvertragsklauseln dar.
2. Die Parteien vereinbaren, dass für die Übertragung personenbezogener Daten zwischen MIR und dem Kontoinhaber Folgendes gilt:
   
   1. Klausel 7 der SCCs findet keine Anwendung
   2. Die Aufsichtsbehörde ist das britische Information Commissioner’s Office, wenn der britische Nachtrag aufgenommen wird, oder der irische Data Protection Commissioner, wenn nur die SCCs aufgenommen werden.
   3. Wenn der UK-Nachtrag Anwendung findet, gilt das Recht Englands und Wales, andernfalls das Recht Irlands.
   4. Die Parteien wählen die englischen Gerichte als ihren Gerichtsstand, wenn der UK-Nachtrag Anwendung findet, und die irischen Gerichte, wenn dies nicht der Fall ist.
   5. In Tabelle 4 des UK-Nachtrags kann jede Partei die Vereinbarung gemäß Abschnitt 19 des UK-Nachtrags kündigen.

Identifizierung der Parteien

„Datenexporteur“: der Übermittler personenbezogener Daten;

„Datenimporteur“: der Empfänger der personenbezogenen Daten

Beschreibung der Übertragung

Betroffene Personen

Die verarbeiteten personenbezogenen Daten betreffen die folgenden Kategorien betroffener Personen (bitte angeben):

• ☐ Mitarbeiter von MIR
• ☐ MIRs Kunden
• ☐ Endbenutzer des Kontoinhabers
• ☐ Mitarbeiter des Kontoinhabers
• ☐ Kunden des Kontoinhabers
• ☐ Sonstiges: ________

Kategorien personenbezogener Daten

Bei den übermittelten personenbezogenen Daten handelt es sich um folgende Datenkategorien (bitte angeben):

• ☐ Kontaktdaten (Name, Alter, Geschlecht, Adresse, Telefonnummer, E-Mail-Adresse usw.)
• ☐ Finanz- und Zahlungsdaten (z. B. Kreditkartennummer, Bankverbindung, Transaktionen)
• ☐ Amtlicher Ausweis (Reisepass, Führerschein)
• ☐ Gerätekennungen und Internet- oder elektronische Netzwerkaktivität (IP-Adressen, GAID/IDFA, Browserverlauf, Zeitstempel)
• ☐ Geolokalisierungsinformationen
• ☐ Biometrische Daten
• ☐ Sonstiges: ________

Besondere Kategorien von Daten (falls zutreffend)

Bei den übermittelten personenbezogenen Daten handelt es sich um folgende besondere Datenkategorien (bitte angeben):

• ☐ Keine
• ☐ Genetische oder biometrische Daten
• ☐ Gesundheitsdaten
• ☐ Rasse oder ethnische Herkunft
• ☐ Politische Meinungen, religiöse oder philosophische Überzeugungen
• ☐ Sonstiges: ________

Die Häufigkeit der Übertragung:

• ☐ Einmalig
• ☐ Kontinuierlich
• ☐ Sonstiges: ________

Art der Verarbeitung

• ☐ Sammlung
• ☐ Aufnahme
• ☐ Organisation oder Strukturierung
• ☐ Lagerung
• ☐ Anpassung oder Änderung
• ☐ Abruf
• ☐ Beratung
• ☐ Offenlegung, Verbreitung oder sonstige Bereitstellung
• ☐ Analyse
• ☐ Löschung oder Vernichtung
• ☐ Sonstiges: ________
•  

Zweck der Übermittlung und Weiterverarbeitung

• ☐ Zur Bereitstellung, Verwaltung und zum Betrieb von MBB-Kontodiensten
• ☐ Sonstiges: ________

Aufbewahrungsfrist

Personenbezogene Daten werden für die Dauer der Vereinbarung oder gemäß geltendem Recht gespeichert.

Anhang II der SCCs – Technische und organisatorische Maßnahmen einschließlich technischer und organisatorischer Maßnahmen zur Gewährleistung der Datensicherheit

Dieser Anhang ist Teil der DPA und beschreibt die vom Datenimporteur umgesetzten technischen und organisatorischen Sicherheitsmaßnahmen.

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen ergreift der Datenimporteur geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. Dazu gehören unter anderem, soweit angemessen,

• die Pseudonymisierung und Verschlüsselung personenbezogener Daten;
• die Fähigkeit, die fortlaufende Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit von Verarbeitungssystemen und -diensten sicherzustellen;
• die Fähigkeit, die Verfügbarkeit und den Zugang zu personenbezogenen Daten im Falle eines physischen oder technischen Zwischenfalls zeitnah wiederherzustellen;
• ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung; und
• Aufrechterhaltung der Informationssicherheits- und Datenschutzrichtlinien