TicTac Learn DPA

Dieser Auftragsverarbeitungsvertrag (”AV-Vertrag”) ist Bestandteil des Vertrags zwischen der im Vertrag als Vertragspartner bezeichneten TicTac-Geschäftseinheit (”TicTac”) und dem Kunden (der ”Vertrag”) und gilt ausschließlich und nur insoweit, als TicTac im Zusammenhang mit den vom Vertrag erfassten konkreten Produkten und Dienstleistungen (z. B. Trainings, TicTac-Produkte, KI-gestützte Content-Produktionsdienstleistungen, TicTac Support, Docebo-Unterstützungsleistungen, Articulate-Unterstützungsleistungen und Vyond- Unterstützungsleistungen) personenbezogene Daten im Auftrag des Kunden verarbeitet.

Zur Klarstellung: Die Verarbeitung personenbezogener Daten innerhalb von Drittplattformen, die von TicTac weiterverkauft oder bereitgestellt werden (wie etwa die Plattformen Docebo, Skillhabit, Vyond oder Articulate 360), richtet sich nach den jeweils gesonderten Auftragsverarbeitungsverträgen dieser Anbieter. Dieser AV-Vertrag erfasst die eigene Verarbeitung durch TicTac im Zusammenhang mit den in Anlage 1 aufgeführten Dienstleistungen, einschließlich Unterstützungsleistungen in Bezug auf diese Plattformen.

Dieser AV-Vertrag wird durch Bezugnahme Bestandteil des Vertrags zwischen TicTac und dem Kunden, sei es über die Kaufbedingungen von TicTac (abrufbar unter https://www.tictaclearn.net/terms-of-purchase ), einen gesonderten Dienstleistungsvertrag oder ein Bestellformular. Im Falle eines Widerspruchs zwischen diesem AV-Vertrag und dem Vertrag geht dieser AV-Vertrag hinsichtlich der Verarbeitung personenbezogener Daten vor.

1. Begriffsbestimmungen

Begriffe, die in der DSGVO und im Vertrag definiert sind, haben in diesem AV-Vertrag dieselbe Bedeutung. Darüber hinaus gilt:

(a) ”DSGVO” bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (Datenschutz-Grundverordnung).

b) ”Personenbezogene Daten” bezeichnet alle personenbezogenen Daten (im Sinne von Artikel 4 Nr. 1 DSGVO), die TicTac im Rahmen des Vertrags im Auftrag des Kunden verarbeitet.

(c) "Verletzung des Schutzes personenbezogener Daten” bezeichnet eine Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 4 Nr. 12 DSGVO.

(d) ”Unterauftragsverarbeiter” bezeichnet jeden Dritten, den TicTac mit der Verarbeitung personenbezogener Daten im Auftrag des Kunden beauftragt.

(e) ”Verarbeitungsanweisungen” bezeichnet die dokumentierten Anweisungen des Kunden für die Verarbeitung personenbezogener Daten durch TicTac, wie in Anlage 1 und in der jeweiligen Bestellung festgelegt.

2. Geltungsbereich und Rollen

Der Kunde ist Verantwortlicher und TicTac ist Auftragsverarbeiter hinsichtlich der personenbezogenen Daten, die im Rahmen dieses AV-Vertrags verarbeitet werden.

Gegenstand, Art, Zweck und Dauer der Verarbeitung, die Arten personenbezogener Daten sowie die Kategorien betroffener Personen sind in Anlage 1 beschrieben.

Dieser AV-Vertrag gilt für sämtliche Verarbeitungen personenbezogener Daten, die TicTac bei der Erfüllung des Vertrags im Auftrag des Kunden vornimmt, einschließlich, ohne darauf beschränkt zu sein, der Verarbeitung personenbezogener Daten in Kundenmaterialien, von Daten von Kursteilnehmern sowie sonstiger personenbezogener Daten, die der Kunde TicTac im Zusammenhang mit einer Bestellung übermittelt.

3. Verarbeitungsanweisungen

TicTac verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, sofern TicTac nicht durch das Recht der Union oder der Mitgliedstaaten, dem TicTac unterliegt, zu einer Verarbeitung verpflichtet ist. In diesem Fall informiert TicTac den Kunden - soweit gesetzlich zulässig - vor der Verarbeitung über diese rechtliche Anforderung.

Die Kaufbedingungen, die jeweilige Bestellung, der Dienstleistungsvertrag und dieser AV- Vertrag (einschließlich Anlage 1) bilden zum Zeitpunkt des Vertragsschlusses die vollständigen Anweisungen des Kunden für die Verarbeitung personenbezogener Daten durch TicTac. Der Kunde kann zusätzliche angemessene Anweisungen erteilen, die mit dem Vertrag vereinbar sind, sofern diese schriftlich erfolgen.

TicTac informiert den Kunden unverzüglich, wenn TicTac der Auffassung ist, dass eine Anweisung des Kunden gegen die DSGVO oder sonstiges anwendbares Datenschutzrecht verstößt.

4. Vertraulichkeit

TicTac stellt sicher, dass jede Person, die zur Verarbeitung personenbezogener Daten im Rahmen dieses AV-Vertrags befugt ist, angemessenen Vertraulichkeitsverpflichtungen unterliegt, sei es aufgrund einer vertraglichen oder einer gesetzlichen Verpflichtung.

5. Sicherheitsmaßnahmen

TicTac implementiert und unterhält angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder Schädigungen. Dabei werden der Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung ebenso berücksichtigt wie das Risiko für die Rechte und Freiheiten betroffener Personen.

6. Unterauftragsverarbeiter

Der Kunde erteilt TicTac eine allgemeine schriftliche Genehmigung, Unterauftragnehmer für die Verarbeitung personenbezogener Daten im Rahmen dieser Auftragsverarbeitungsvereinbarung einzusetzen.

TicTac führt unter https://www.tictaclearn.net/trust-center eine aktuelle Liste der Unterauftragsverarbeiter (die ”Liste der Unterauftragsverarbeiter”). TicTac aktualisiert die Liste der Unterauftragsverarbeiter mindestens dreißig (30) Tage vor der Beauftragung eines neuen Unterauftragsverarbeiters oder dem Austausch eines bestehenden Unterauftragsverarbeiters. Der Kunde kann über den auf dieser Seite angegebenen Mechanismus Benachrichtigungen über Aktualisierungen der Liste der Unterauftragsverarbeiter abonnieren.

Hat der Kunde einen berechtigten, datenschutzbezogenen Einwand gegen die Beauftragung eines neuen Unterauftragsverarbeiters, teilt er TicTac diesen innerhalb von vierzehn (14) Tagen nach Aktualisierung der Liste der Unterauftragsverarbeiter schriftlich mit.

Die Parteien erörtern den Einwand nach Treu und Glauben, um eine wirtschaftlich vertretbare Alternative zu finden. Können die Parteien den Einwand nicht ausräumen, besteht das alleinige Rechtsmittel des Kunden darin, den noch nicht erfüllten Teil der betroffenen Bestellung schriftlich zu kündigen. In diesem Fall hat der Kunde keinen Anspruch auf eine vollständige Rückerstattung, bleibt jedoch verpflichtet, alle bis zum Datum der Kündigung von TicTac erbrachten Dienstleistungen und erstellten Arbeitsergebnisse zu bezahlen, ungeachtet etwaiger allgemeiner Bestimmungen im Vertrag, die eine Stornierung ausschließen.

Erhebt der Kunde innerhalb der Frist von vierzehn (14) Tagen keinen schriftlichen Einwand, gilt der neue Unterauftragsverarbeiter als vom Kunden genehmigt.

TicTac legt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die keinen geringeren Schutz bieten als die in diesem AV-Vertrag festgelegten Pflichten. TicTac bleibt gegenüber dem Kunden für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters vollumfänglich verantwortlich.

7. Rechte betroffener Personen

TicTac unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung seiner Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte nach Kapitel III der DSGVO zu beantworten (einschließlich der Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch).

Erhält TicTac einen Antrag unmittelbar von einer betroffenen Person, leitet TicTac den Antrag unverzüglich an den Kunden weiter und beantwortet ihn nicht unmittelbar gegenüber der betroffenen Person, es sei denn, der Kunde hat TicTac hierzu angewiesen oder TicTac ist gesetzlich dazu verpflichtet.

Soweit die Unterstützung durch TicTac einen erheblichen, über das Zumutbare hinausgehenden Aufwand erfordert, kann TicTac dem Kunden hierfür ein angemessenes Entgelt auf Grundlage der TicTac tatsächlich entstandenen Kosten berechnen.

8. Meldung von Verletzungen des Schutzes personenbezogener Daten

TicTac benachrichtigt den Kunden unverzüglich, in jedem Fall jedoch innerhalb von 48 Stunden, nachdem TicTac Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, die im Rahmen dieses AV-Vertrags verarbeitete personenbezogene Daten betrifft.

Die Benachrichtigung enthält, soweit verfügbar:

a) eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der ungefähren Zahl der betroffenen Datensätze personenbezogener Daten;

b) den Namen und die Kontaktdaten einer Kontaktperson bei TicTac, von der weitere Informationen eingeholt werden können;

c) eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten; und

d) eine Beschreibung der von TicTac ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Ist es nicht möglich, zum Zeitpunkt der Benachrichtigung alle Informationen bereitzustellen, stellt TicTac die Informationen schrittweise und ohne unangemessene weitere Verzögerung bereit.

TicTac arbeitet mit dem Kunden zusammen und ergreift angemessene Maßnahmen, um bei der Untersuchung, Eindämmung und Behebung der Verletzung des Schutzes personenbezogener Daten zu unterstützen.

9. Unterstützung bei der Einhaltung der Datenschutzpflichten

TicTac unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der TicTac zur Verfügung stehenden Informationen bei der Einhaltung der dem Kunden nach den Artikeln 32 bis 36 DSGVO obliegenden Pflichten (Sicherheit der Verarbeitung, Datenschutz-Folgenabschätzungen und vorherige Konsultation der Aufsichtsbehörden).

10. Audit

TicTac stellt dem Kunden alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieses AV-Vertrags nachzuweisen, und ermöglicht und unterstützt Audits einschließlich Inspektionen, die vom Kunden oder von einem vom Kunden beauftragten Prüfer durchgeführt werden.

Audits werden wie folgt durchgeführt:

(a) Der Kunde kündigt TicTac jedes Audit mindestens dreißig (30) Tage im Voraus schriftlich an.

(b) Audits werden während der üblichen Geschäftszeiten durchgeführt und dürfen den Geschäftsbetrieb von TicTac nicht unangemessen beeinträchtigen.

(c) TicTac trägt seine eigenen Kosten im Zusammenhang mit der Beantwortung von Fragebögen, die der Kunde TicTac im Rahmen seiner laufenden Überwachung vorlegt. Bei Vor-Ort-Audits oder -Inspektionen trägt der Kunde seine eigenen Kosten.Erfordert ein Vor-Ort-Audit über die Bereitstellung der Standarddokumentation hinaus eine erhebliche Mitwirkung von TicTac-Mitarbeitern, kann TicTac ein angemessenes Entgelt berechnen.

(d) Auditergebnisse und alle im Rahmen eines Audits erlangten Informationen sind als Vertrauliche Informationen im Sinne des Vertrags zu behandeln.

Hat TicTac eine einschlägige Zertifizierung eines Dritten oder einen entsprechenden Auditbericht erhalten (z. B. SOC 2 oder ISO 27001), kann TicTac diese Zertifizierung oder diesen Bericht als Alternative zu einem Vor-Ort-Audit anbieten. Der Kunde kann dennoch ein Vor-Ort-Audit verlangen, wenn die Zertifizierung oder der Bericht die Bedenken des Kunden nicht angemessen ausräumt.

11. Internationale Datenübermittlungen

TicTac übermittelt personenbezogene Daten nicht in ein Land außerhalb des Europäischen Wirtschaftsraums (”EWR”), es sei denn, ein angemessenes Schutzniveau wird durch einen der folgenden Mechanismen gewährleistet:

a) Die Europäische Kommission hat für das Empfängerland einen Angemessenheitsbeschluss erlassen (Artikel 45 DSGVO);

b) es bestehen geeignete Garantien, beispielsweise von der Europäischen Kommission erlassene Standardvertragsklauseln (Artikel 46 Absatz 2 Buchstabe c DSGVO); oder

c) eine Ausnahme nach Artikel 49 DSGVO findet Anwendung.

Befindet sich ein Unterauftragsverarbeiter außerhalb des EWR, ist der anwendbare Übermittlungsmechanismus in Anlage 2 angegeben.

12. Laufzeit, Rückgabe und Löschung

Dieser AV-Vertrag bleibt so lange in Kraft, wie TicTac im Rahmen des Vertrags personenbezogene Daten im Auftrag des Kunden verarbeitet.

Nach Abschluss der Leistungen im Zusammenhang mit einer bestimmten Bestellung oder bei einer früheren Beendigung der Bestellung löscht TicTac nach Wahl des Kunden alle im Zusammenhang mit dieser Bestellung verarbeiteten personenbezogenen Daten innerhalb von dreißig (30) Tagen oder gibt sie an den Kunden zurück, sofern nicht das Recht der Union oder eines Mitgliedstaats eine weitere Speicherung der personenbezogenen Daten verlangt. Der Kunde teilt seine Wahl schriftlich mit. Teilt der Kunde innerhalb von fünfzehn (15) Tagen nach Abschluss oder Beendigung keine Wahl mit, löscht TicTac die personenbezogenen Daten.

Auf Wunsch des Kunden bestätigt TicTac die Löschung schriftlich.

13. Haftung

Die Haftung jeder Partei aus oder im Zusammenhang mit diesem AV-Vertrag unterliegt den im Vertrag festgelegten Haftungsbeschränkungen und Haftungsausschlüssen.

Dieser AV-Vertrag beschränkt oder schließt die Haftung einer Partei gegenüber betroffenen Personen oder Aufsichtsbehörden nach dem anwendbaren Datenschutzrecht nicht aus, soweit eine solche Beschränkung oder ein solcher Ausschluss gesetzlich unzulässig ist.