Zusatzvereinbarung zur internationalen Datenübermittlung

Soweit eine beschränkte Übermittlung personenbezogener Daten aus dem EWR (oder aus einer Rechtsordnung, die ein gleichwertiges Instrument verlangt) Artikel 46 GDPR unterliegt, stützen sich die Parteien auf die Standardvertragsklauseln, die mit Durchführungsbeschluss (EU) 2021/914 der Kommission angenommen wurden, einschließlich der amtlichen Module und Anhänge, wie von der Europäischen Kommission veröffentlicht.

Qreportly LLC veröffentlicht keinen selbst verfassten Ersatz für die SCC der Kommission. Diese Zusatzvereinbarung vervollständigt die in den SCC-Anhängen erforderlichen Angaben (Parteien, Rollen, Beschreibung der Übermittlung, technische und organisatorische Maßnahmen). Der amtliche SCC-Text bleibt das vertragliche Rechtsinstrument.

Der aktuelle Kommissionsbeschluss und der SCC-Text sind auf EUR-Lex unter Durchführungsbeschluss (EU) 2021/914 der Kommission verfügbar. Nichts in dieser Zusatzvereinbarung ändert diesen Text stillschweigend.

Datenexporteur (Transfer A): der im anwendbaren kommerziellen Vertrag (Nutzungsbedingungen und, soweit vorhanden, ein Bestellformular) identifizierte Kunde. Rolle: Verantwortlicher / Datenexporteur.

Datenimporteur (Transfer A): Qreportly LLC, 30 N Gould St Ste R, Sheridan, WY 82801, United States. Rolle: Auftragsverarbeiter / Datenimporteur.

Für Transfer B handelt Qreportly LLC als Auftragsverarbeiter / Datenexporteur gegenüber dem auf der öffentlichen Unterauftragsverarbeiter-Seite genannten Unterauftragsverarbeiter, der als Auftragsverarbeiter / Datenimporteur handelt. Module 2 wird für Transfer B nicht verwendet. Module 3 wird für Transfer A nicht verwendet.

Soweit der Kunde im EWR niedergelassen ist (oder anderweitig ohne einen Mechanismus nach Kapitel V personenbezogene Daten nicht in die United States übermitteln darf) und Qreportly LLC Kanaldaten als Auftragsverarbeiter verarbeitet, ist das anwendbare SCC-Modul Module 2 (Verantwortlicher an Auftragsverarbeiter), soweit GDPR Kapitel V dies verlangt.

Diese Übermittlung besteht, weil Qreportly LLC in den United States niedergelassen ist und Kanaldaten auf dokumentierte Weisung verarbeitet, auch wenn die Primärspeicherung in der Europäischen Union gehostet wird und Qreportly LLC auf diese Daten aus der Ferne für Hosting-Betrieb, Support, Sicherheit oder Wartung zugreifen kann. EU-Hosting der Datenbank beseitigt für sich genommen nicht das Verhältnis Kunde → US-Auftragsverarbeiter.

Diese Zusatzvereinbarung beschreibt die Architektur wie umgesetzt. Sie ersetzt nicht die eigene Transfer-Folgenabschätzung des Kunden.

Soweit Qreportly LLC einen Unterauftragsverarbeiter einsetzt, der personenbezogene Daten in einem Drittland ohne Angemessenheitsbeschluss verarbeitet, oder soweit Kapitel V anderweitig ein Transferinstrument verlangt, ist das anwendbare Modul zwischen Qreportly LLC und diesem Unterauftragsverarbeiter Module 3 (Auftragsverarbeiter an Auftragsverarbeiter), soweit erforderlich.

Verifiziertes Anwendungshosting: Vercel, Inc. liefert die Next.js-Anwendung. Meldungseinreichung und Fall-APIs übermitteln daher Kanaldaten, einschließlich Meldeinhalten und Anhängen im Transit, über diese Hosting-Schicht. Vercel ist nicht der primäre Speicher der Meldungstexte; diese werden in der in der EU gehosteten Datenbank und im Objektspeicher gespeichert. Die Unterauftragsverarbeiter-Seite legt diesen Datenfluss ausdrücklich dar.

Qreportly LLC beansprucht keine Teilnahme am EU-US Data Privacy Framework. Eine DPF-Zertifizierung eines Anbieters, sofern vorhanden, ist der Status dieses Anbieters und nicht die Zertifizierung von QReportly. Transferinstrumente für Unterauftragsverarbeiter sind auf der Unterauftragsverarbeiter-Seite als Standard Contractual Clauses / GDPR Kapitel V beschrieben, soweit eine beschränkte Übermittlung gilt, oder als keine beschränkte Übermittlung, soweit Anbieter und Verarbeitung nach Prüfung in der EU/EWR liegen.

Die Übermittlung betrifft personenbezogene Daten, die QReportly im Auftrag des Kunden zum Betrieb der internen Meldeplattform (Kanaldaten) verarbeitet, und gesondert begrenzte Konto-, Abrechnungs- oder Betriebsdaten, die zur Bereitstellung des SaaS verarbeitet werden.

Häufigkeit: fortlaufend / soweit zur Leistungserbringung erforderlich, einschließlich bei jeder Meldungseinreichung, Nachricht, Anhang-Hochladen, Dashboard-Zugriff, Backup-Zyklus des EU-Hosting-Stacks und Support-Ereignis.

Art: Hosting, Speicherung, Übermittlung, Anzeige, Suche, Export, Sicherung und Löschung gemäß Konfiguration des Kunden.

Kanaldaten können Hinweisgeber / Whistleblower betreffen; in Meldungen genannte Personen; Zeugen; Fallbearbeiter; autorisierte Nutzer; Administratoren; Beschäftigte; Auftragnehmer; und andere Personen, deren personenbezogene Daten rechtmäßig in Meldungen oder Workspace-Datensätzen enthalten sind.

Die folgenden Daten können je nach dem auf der Plattform übermittelten Inhalt und danach, wie der Kunde den Workspace konfiguriert, verarbeitet werden. QReportly verlangt nicht aktiv jede aufgeführte Kategorie als Bedingung für die Nutzung des Kanals:

Namen; Kontaktdaten; berufliche Rolle; Nutzerkennungen; Fallkennungen; Meldeinhalt; Kommunikation; Anhänge; Zeitstempel; Fallstatus; technische Informationen, die zum Betrieb des Dienstes erforderlich sind.

Besondere Kategorien personenbezogener Daten nach Artikel 9 GDPR und Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10 GDPR können verarbeitet werden, soweit sie rechtmäßig in einer Meldung oder durch den Kunden enthalten sind. Der Kunde als Verantwortlicher ist für die Rechtmäßigkeit der Aufnahme solcher Daten verantwortlich. QReportly verlangt Daten nach Artikel 9 oder Artikel 10 nicht als Bedingung für die Einreichung einer Meldung.

Technisch durch die Umsetzung unterstützte Zwecke: Bereitstellung der Plattform; Hosting; Speicherung; Verarbeitung; Sicherung; Sicherheit; Wartung; Support; Benachrichtigungen; Kontoverwaltung; technischer Betrieb; Abrechnung des Kundenabonnements (Abrechnungsdaten, nicht Meldungstexte).

QReportly verwendet Kanaldaten nicht für eigenes Marketing oder Werbung von QReportly. Optionale Analyse- oder Werbewerkzeuge gelten, sofern konfiguriert, nur für öffentliche Marketingseiten nach Einwilligung und sind keine Unterauftragsverarbeiter von Kanaldaten.

Die Dauer folgt der Abonnementlaufzeit zuzüglich der vom Kunden in der Plattform konfigurierten Aufbewahrungsfristen zuzüglich eines begrenzten Zeitraums, der nach Beendigung zur Löschung oder Rückgabe der Daten angemessen erforderlich ist, zuzüglich der Backup-Rotation des EU-Hosting-Stacks.

Die Standardaufbewahrung von Kanaldaten für geschlossene Fälle wird je Workspace konfiguriert (Plattformstandard fünf Jahre, mit einem Dreijahresstandard für Rechtsordnungen wie Deutschland, soweit diese Frist konfiguriert ist). Anhänge sind 180 Tage nach Kennzeichnung eines Falls als geschlossen zur Löschung vorgesehen. Dies sind Produktdefaults und vom Kunden konfigurierbare Fristen, keine erfundenen gesetzlichen Garantien. Der Anbieter erfindet keine einheitliche feste Aufbewahrungsfrist für alle Kunden.

Unterauftragsverarbeiter sind auf der öffentlichen Unterauftragsverarbeiter-Seite aufgeführt, die durch Verweis Bestandteil dieser Zusatzvereinbarung ist. Wesentliche, Kanaldaten betreffende Änderungen werden wie im Auftragsverarbeitungsvertrag beschrieben mitgeteilt.

Technische und organisatorische Maßnahmen umfassen TLS im Transit; organisationsbezogene Zugriffskontrolle und logische Isolation der Client-Workspaces; bcrypt-Passwort-Hashes für Konten; verschlüsselte TOTP-Geheimnisse, soweit MFA aktiviert ist; Backups der primären Produktionsdaten in in der EU gehosteter Infrastruktur, mit Verschlüsselung im Ruhezustand, wie von diesem Hosting-Stack bereitgestellt; Bereinigung bestimmter Anhangsmetadaten beim Upload; und einen Incident-Response-Prozess, wie im DPA beschrieben.

QReportly bietet derzeit keine Ende-zu-Ende-Verschlüsselung für den Text eingereichter Meldungen. Autorisierte Nutzer des Kunden mit der entsprechenden Rolle können Fallinhalte im Dashboard einsehen. Mandantenumgebungen sind logisch isoliert. QReportly beansprucht keine ISO 27001-, SOC 2-, PCI DSS-, HIPAA-, FedRAMP- oder EU-US DPF-Zertifizierung der Qreportly LLC.

Derzeit umgesetzte ergänzende Maßnahmen umfassen: primäre Produktionsdatenbank und Objektspeicher in der Europäischen Union (Frankfurt / aws-0-eu-central-1, wie konfiguriert); keine Persistenz von IP-Adressen der Hinweisgeber in der Anwendungsdatenbank; Hashing von Client-IPs im Speicher zur Ratenbegrenzung auf öffentlichen Hinweisgeber-Endpunkten; Ausschluss von Werbe-/Analyseskripten von Meldekanal-Routen; Zugriff beschränkt auf Personal, das ihn für den Dienst, Sicherheit, Support oder Rechtspflichten benötigt; und vertragliche Vertraulichkeitspflichten.

Infrastrukturanbieter können weiterhin Anfragemetadaten verarbeiten, einschließlich netzwerkbezogener IP-Adressen und, beim Anwendungshost, Anfrage-Payloads im Transit. Diese Tatsache ist auf der Unterauftragsverarbeiter-Seite offengelegt und wird nicht als „nur Metadaten“ beschrieben, soweit Meldeinhalt den Host durchläuft.

Bei einem rechtlich bindenden Ersuchen einer öffentlichen Stelle zu Kundendaten befolgt QReportly die nach dem einschlägigen Transfermechanismus und dem anwendbaren Recht geltenden Pflichten. Soweit rechtlich zulässig, unterrichtet QReportly den Kunden, beschränkt die Offenlegung auf das rechtlich Gebotene und prüft verfügbare Mittel, das Ersuchen anzufechten oder einzugrenzen.

Ist eine Mitteilung an den Kunden rechtlich untersagt, legt QReportly keine Informationen offen, deren Offenlegung rechtlich untersagt ist.

Diese Zusatzvereinbarung besagt nicht, dass US-Behörden nicht auf Daten zugreifen können, dass QReportly nicht dem CLOUD Act unterliegt, dass FISA nicht gilt oder dass behördlicher Zugriff unmöglich ist. Diese Fragen erfordern eine rechtsordnungsspezifische rechtliche Prüfung.

Qreportly LLC hat zum Datum der letzten Aktualisierung dieser Zusatzvereinbarung keinen EU-Vertreter nach Artikel 27 GDPR bestellt. Es werden kein Vertretername, keine Adresse und keine E-Mail veröffentlicht, weil in den Projektdaten keiner verifiziert ist. Ob Artikel 27 gilt und ob eine Ausnahme gilt, ist eine Frage rechtlicher Prüfung und wird in dieser Zusatzvereinbarung nicht entschieden. Ein Vertreter nach Artikel 27 ist keine EU-Tochtergesellschaft.

Qreportly LLC beansprucht keine Teilnahme am EU-US Data Privacy Framework. Es wird keine DPF-Zertifizierungsnummer veröffentlicht. Der DPF-Status eines Unterauftragsverarbeiters, sofern vorhanden, ist nicht der DPF-Status von QReportly.

Diese Zusatzvereinbarung ist Bestandteil des Auftragsverarbeitungsvertrags und der Nutzungsbedingungen für Auftragsverarbeitungstätigkeiten. Bei Widerspruch hinsichtlich internationaler Übermittlungen von Kanaldaten gehen die amtlichen SCC (Beschluss 2021/914) dieser Zusatzvereinbarung in Bezug auf den SCC-Text vor; diese Zusatzvereinbarung geht dem DPA und den Nutzungsbedingungen allein hinsichtlich der hier beschriebenen Anhangsangaben und Modulzuordnung vor; das DPA geht den Nutzungsbedingungen allein hinsichtlich der Auftragsverarbeiterpflichten für Kanaldaten vor.

Mit Annahme der Nutzungsbedingungen und des DPA stimmt der Kunde dieser Zusatzvereinbarung zu. Ob ein Click-Wrap-Abschluss der SCC in einem bestimmten Mitgliedstaat ausreicht, ist eine Frage rechtlicher Prüfung.

Nichts in dieser Zusatzvereinbarung beschränkt die Befugnisse einer Aufsichtsbehörde oder die Rechte betroffener Personen nach anwendbarem Recht. Zwingende Bestimmungen der GDPR bleiben anwendbar.