Version gültig ab September 2021

Durch die Zustimmung zu den Bedingungen der Vereinbarung, die sich auf dieses Beiblatt zur Datenverarbeitung („DPA“) beziehen, stimmen Sie („Abonnent“) den hier dargelegten Bedingungen zu, die durch Verweis in die Vereinbarung aufgenommen werden.

ERWÄGUNGEN

Bentley und der Abonnent, im eigenen Namen und im Namen seiner verbundenen Unternehmen, haben ein oder mehrere Bestellformulare, Verträge und/oder Vereinbarungen („Vereinbarung“) abgeschlossen, gemäß denen Bentley zugestimmt hat, Software und/oder Produkte zu lizenzieren und/oder Dienstleistungen für den Abonnenten zu erbringen, wie in der Vereinbarung beschrieben (zusammen die „Dienste“). Großgeschriebene Begriffe, die in diesem DPA verwendet, aber nicht anderweitig definiert werden, haben die ihnen in der Vereinbarung zugewiesene Bedeutung. Im Falle eines Widerspruchs zwischen den Bestimmungen dieses DPA und den Bestimmungen der Vereinbarung haben die Bestimmungen dieses DPA in Bezug auf einen solchen Widerspruch Vorrang. Die Vereinbarung umfasst alle Anlagen, Zeitpläne, Anhänge, Arbeitsbeschreibungen oder sonstige Zusätze, die Teil der Vereinbarung sind oder in diese aufgenommen wurden, einschließlich dieses DPA.

Durch die Ausführung der Vereinbarung schließt der Abonnent dieses DPA in seinem eigenen Namen und, soweit nach den geltenden Datenschutzgesetzen und -vorschriften erforderlich, im Namen und im Auftrag seiner verbundenen Unternehmen ab, wenn und soweit Bentley personenbezogene Daten verarbeitet, für die diese verbundenen Unternehmen als Verantwortliche gelten. Nur für die Zwecke dieses DPA und sofern nicht anders angegeben, umfasst der Begriff „Abonnent“ den Abonnenten und verbundene Unternehmen.

Im Rahmen der Erbringung der Dienste für den Abonnenten gemäß der Vereinbarung kann Bentley personenbezogene Daten im Namen des Abonnenten verarbeiten, und die Parteien verpflichten sich, die folgenden Bestimmungen in Bezug auf personenbezogene Daten einzuhalten, wobei jede Partei nach Treu und Glauben handelt.

1. DEFINITIONEN

 „Verbundenes Unternehmen“ bezeichnet jede Entität, die die betreffende Entität direkt oder indirekt kontrolliert, von ihr kontrolliert wird oder mit ihr unter gemeinsamer Kontrolle steht. „Kontrolle“ im Sinne dieser Definition bedeutet direktes oder indirektes Eigentum oder Kontrolle von mehr als 50 % der Stimmrechtsanteile des betreffenden Unternehmens.

„CCPA“ steht für den California Consumer Privacy Act (kalifornisches Gesetz zum Schutz der Privatsphäre der Verbraucher), Cal. Civ. Code, § 1798.100 f. und seine Durchführungsbestimmungen.

„Verantwortlicher“ bezeichnet die Entität, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt.

„Datenschutzverletzung“ bezeichnet eine Sicherheitsverletzung, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Änderung, zur unbefugten Offenlegung von oder zum Zugriff auf personenbezogene Daten führt, die von Bentley gemäß der Vereinbarung übermittelt, gespeichert oder anderweitig verarbeitet werden.

„Datenschutzgesetze und -vorschriften“ bezeichnet alle Gesetze und Vorschriften, einschließlich der Gesetze und Vorschriften, die für die Verarbeitung personenbezogener Daten im Rahmen der Vereinbarung in der jeweils gültigen Fassung gelten. Zur Vermeidung von Zweifeln sei darauf hingewiesen, dass, wenn Bentleys Verarbeitungstätigkeiten in Bezug auf personenbezogene Daten nicht in den Anwendungsbereich eines bestimmten Datenschutzgesetzes fallen, dieses Gesetz für die Zwecke dieses DPA nicht anwendbar ist.

„Betroffene Person“ bezeichnet die identifizierte oder identifizierbare Person, auf die sich die personenbezogenen Daten beziehen.

„DSGVO“ bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), einschließlich der nach dem Recht des Vereinigten Königreichs umgesetzten oder angenommenen Bestimmungen.

 „Personenbezogene Daten“ bezeichnet alle Informationen, die sich auf (i) eine identifizierte oder identifizierbare natürliche Person und (ii) eine identifizierte oder identifizierbare juristische Person beziehen (sofern diese Informationen gemäß den geltenden Datenschutzgesetzen und -vorschriften in ähnlicher Weise geschützt sind wie personenbezogene Daten oder Identitätsangaben).

„Verarbeitung“ bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, das Organisieren, das Ordnen, das Speichern, das Anpassen oder Verändern, das Auslesen, das Abfragen, das Verwenden, das Offenlegen durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, das Abgleichen oder Verknüpfen, das Einschränken, das Löschen oder das Vernichten.

„Prozessor“ bezeichnet die Entität, die personenbezogene Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet, gegebenenfalls einschließlich aller „Dienstanbieter“, wie dieser Begriff im CCPA definiert ist.

„Abonnent“ bezeichnet die Entität, die die Vereinbarung zusammen mit ihren verbundenen Unternehmen unterzeichnet hat (solange sie verbundene Unternehmen bleiben).

„EU-Standardvertragsklauseln“ bezeichnet die Standardvertragsklauseln gemäß dem Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, hier abrufbar.

„Unterauftragsverarbeiter“ bezeichnet jeden von Bentley oder den verbundenen Unternehmen von Bentley im Namen von Bentley beauftragten Auftragsverarbeiter.

„Aufsichtsbehörde“ bezeichnet eine unabhängige öffentliche Behörde, die von einem EU-Mitgliedstaat gemäß der DSGVO eingerichtet wurde, oder für das Vereinigte Königreich das Information Commissioner's Office („ICO“).

2. VERARBEITUNG PERSONENBEZOGENER DATEN

2.1. Rollen der Parteien. Die Parteien erkennen an und vereinbaren, dass in Bezug auf die Verarbeitung personenbezogener Daten der Abonnent der Verantwortliche und Bentley der Auftragsverarbeiter ist und dass Bentley Unterauftragsverarbeiter gemäß den in Abschnitt 5 „Unterauftragsverarbeiter“ unten dargelegten Anforderungen einsetzen wird.

2.2. Verarbeitung von personenbezogenen Daten durch den Abonnenten. Der Abonnent ist verpflichtet, bei der Nutzung der Dienste personenbezogene Daten in Übereinstimmung mit den Anforderungen der Datenschutzgesetze und -vorschriften zu verarbeiten, einschließlich aller geltenden Anforderungen zur Benachrichtigung der betroffenen Personen über die Inanspruchnahme von Bentley als Auftragsverarbeiter. Um Zweifel auszuschließen, müssen die Anweisungen des Abonnenten für die Verarbeitung personenbezogener Daten den Datenschutzgesetzen und -vorschriften entsprechen. Der Abonnent ist allein verantwortlich für die Richtigkeit, Qualität und Rechtmäßigkeit (i) der personenbezogenen Daten, die Bentley von oder im Namen des Abonnenten zur Verfügung gestellt werden, (ii) der Mittel, mit denen der Abonnent die personenbezogenen Daten erworben hat, und (iii) der Anweisungen, die er Bentley erteilt. Der Abonnent darf Bentley keine personenbezogenen Daten zur Verfügung stellen, die gegen die Vereinbarung verstoßen oder anderweitig für die Art der Dienste unangemessen sind, und stellt Bentley von allen Ansprüchen und Verlusten im Zusammenhang mit der Verletzung geltender Datenschutzgesetze und -vorschriften durch den Abonnenten frei.

 2.3. Verarbeitung personenbezogener Daten durch Bentley. Bentley behandelt personenbezogene Daten als vertrauliche Informationen und verarbeitet personenbezogene Daten im Auftrag und nur in Übereinstimmung mit den dokumentierten Anweisungen des Abonnenten, es sei denn, Bentley ist aufgrund gesetzlicher Vorschriften zu etwas anderem verpflichtet, und zwar zu folgenden Zwecken: (i) Verarbeitung in Übereinstimmung mit der Vereinbarung und dem/den Bestellformular(en); (ii) Verarbeitung auf Veranlassung von Anwendern bei der Nutzung der Dienste; (iii) Verarbeitung zur Erfüllung anderer dokumentierter angemessener Anweisungen des Abonnenten (z. B. per E-Mail), sofern diese Anweisungen mit den Bedingungen der Vereinbarung übereinstimmen, und (iv) Verarbeitung in Übereinstimmung mit den Datenschutzgesetzen und -vorschriften. Falls Bentley einer gesetzlichen Verpflichtung unterliegt, wird Bentley den Abonnenten über diese gesetzliche Verpflichtung informieren, es sei denn, das Gesetz verbietet dies.

Der Abonnent weist Bentley hiermit an, personenbezogene Daten in Übereinstimmung mit dem Vorstehenden und im Rahmen der Nutzung der Dienste durch den Abonnenten zu verarbeiten.

 2.4. Bentleys Rolle als Dienstanbieterim Rahmen des CCPA. Die Parteien erkennen an und stimmen zu, dass Bentley ein Dienstanbieter im Sinne des CCPA ist und personenbezogene Daten vom Abonnenten gemäß der Vereinbarung für einen geschäftlichen Zweck erhält. Bentley darf solche personenbezogenen Daten weder verkaufen noch personenbezogene Daten, die vom Abonnenten gemäß der Vereinbarung zur Verfügung gestellt wurden, aufbewahren, verwenden oder offenlegen, es sei denn, dies ist für die Erbringung der Dienste erforderlich oder anderweitig in der Vereinbarung festgelegt oder gemäß dem CCPA zulässig. Die Begriffe „Dienstanbieter“ und „verkaufen“ sind in Abschnitt 1798.140 des CCPA definiert. Bentley bestätigt, dass das Unternehmen die Einschränkungen dieses Abschnitts verstanden hat.

 2.5. Einzelheiten der Verarbeitung. Der Gegenstand der Verarbeitung personenbezogener Daten durch Bentley ist die Erbringung der Dienstleistungen gemäß der Vereinbarung. Die Dauer der Verarbeitung, die Art und der Zweck der Verarbeitung, die Arten der personenbezogenen Daten und die Kategorien der betroffenen Personen, die im Rahmen dieses DPA verarbeitet werden, sowie Informationen über die Übermittlung personenbezogener Daten gemäß den Anhängen I und II der EU-Standardvertragsklauseln (falls zutreffend) sind in Anhang 2 dieses DPA aufgeführt.

3. RECHTE DER BETROFFENEN PERSONEN

 Antrag der betroffenen Person. Bentley wird, soweit gesetzlich zulässig, den Abonnenten unverzüglich benachrichtigen, wenn Bentley eine Anfrage einer betroffenen Person erhält, um das Recht der betroffenen Person auf Auskunft, Berichtigung, Einschränkung der Verarbeitung, Löschung („Recht auf Vergessenwerden“), Datenübertragbarkeit, Widerspruch gegen die Verarbeitung oder ihr Recht, keiner automatisierten Einzelentscheidung unterworfen zu werden, auszuüben, wobei jede solche Anfrage eine „Anfrage der betroffenen Person“ ist. In Anbetracht der Art der Verarbeitung unterstützt Bentley den Abonnenten durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung der Verpflichtung des Abonnenten, auf eine Anfrage der betroffenen Person gemäß den Datenschutzgesetzen und -vorschriften zu antworten.

4. PERSONAL VON BENTLEY

 4.1. Vertraulichkeit. Bentley stellt sicher, dass seine Mitarbeitenden, die mit der Verarbeitung personenbezogener Daten befasst sind, über die Vertraulichkeit der personenbezogenen Daten unterrichtet sind, eine angemessene Schulung zu ihren Verantwortlichkeiten erhalten haben und schriftliche Geheimhaltungsvereinbarungen unterzeichnet haben. Bentley stellt sicher, dass diese Vertraulichkeitsverpflichtungen auch nach Beendigung des Arbeitsverhältnisses bestehen bleiben.

4.2. Einschränkung des Zugriffs. Bentley stellt sicher, dass der Zugriff von Bentley auf personenbezogene Daten auf das Personal beschränkt ist, das die Dienstleistungen in Übereinstimmung mit der Vereinbarung erbringt.

4.3. Datenschutzbeauftragter. Bentley hat einen Datenschutzbeauftragten ernannt. Die ernannte Person kann unter dpo@bentley.com erreicht werden.

5. UNTERAUFTRAGSVERARBEITER

 5.1. Ernennung von Unterauftragsverarbeitern. Der Abonnent erkennt an und erklärt sich damit einverstanden, dass (a) die verbundenen Unternehmen von Bentley als Unterauftragsverarbeiter eingesetzt werden können und (b) Bentley bzw. die verbundenen Unternehmen von Bentley im Zusammenhang mit der Bereitstellung der Dienste Unterauftragsverarbeiter von Dritten beauftragen können. Bentley oder ein verbundenes Unternehmen von Bentley hat mit jedem Unterauftragsverarbeiter einen schriftlichen Vertrag abgeschlossen, der Datenschutzverpflichtungen enthält, die nicht weniger schützend sind als die in diesem DPA in Bezug auf den Schutz der personenbezogenen Daten des Abonnenten, soweit dies für die Art der von diesem Unterauftragsverarbeiter erbrachten Dienste gilt.

5.2. Liste der derzeitigen Unterauftragsverarbeiter, Meldung neuer Unterauftragsverarbeiter und Zustimmungsmechanismus. Bentley wird dem Teilnehmer die aktuelle Liste der Unterauftragsverarbeiter für die Dienste zur Verfügung stellen. Der Abonnent kann eine Liste der Unterauftragsverarbeiter online hier finden. Der Abonnent ermächtigt Bentley und die verbundenen Unternehmen von Bentley hiermit allgemein, neue Unterauftragsverarbeiter in Übereinstimmung mit diesem Abschnitt 5 zu entfernen oder hinzuzufügen. Neue Unterauftragsverarbeiter, die auf die personenbezogenen Daten des Abonnenten zugreifen, müssen vom Abonnenten über den folgenden Zustimmungsmechanismus genehmigt werden:

1. Bentley benachrichtigt den Abonnenten mindestens dreißig (30) Tage vor der Autorisierung eines neuen Unterauftragsverarbeiters für den Zugriff auf personenbezogene Daten, indem der Unterauftragsverarbeiter in der Liste online im Bentley Trust Center aktualisiert wird.
2. Erhebt der Abonnent innerhalb dieser dreißig (30) Tage keine angemessenen Einwände bei Bentley, so gilt dies als Zustimmung des Abonnenten zum neuen Unterauftragsverarbeiter.
3. Wenn der Abonnent begründete Einwände erhebt, hat Bentley das Recht, den betroffenen Dienst gegenüber dem Abonnenten mit einer Frist von vierzehn (14) Tagen zu kündigen, es sei denn, Bentley beschließt, (a) den Dienst ohne die Einschaltung des Unterauftragsverarbeiters, gegen den der Abonnent Einwände erhoben hat, fortzusetzen, (b) ausreichende Maßnahmen zu ergreifen, um die in den Einwänden des Abonnenten geäußerten Bedenken auszuräumen, oder (c) im Einvernehmen mit dem Abonnenten die Bereitstellung des bestimmten Aspekts des Dienstes, der den Einsatz des Unterauftragsverarbeiters beinhaltet, (vorübergehend oder dauerhaft) einzustellen. Jeder Unterauftragsverarbeiter ist an Datenschutzverpflichtungen gebunden, die mit denen in dieser Vereinbarung übereinstimmen.

5.3. Haftung. Bentley haftet für die Handlungen und Unterlassungen seiner Unterauftragsverarbeiter in demselben Umfang, in dem Bentley haften würde, wenn es die Dienste des jeweiligen Unterauftragsverarbeiters gemäß den Bedingungen dieses DPA direkt ausführen würde, sofern in der Vereinbarung nichts anderes festgelegt ist.

6. SICHERHEIT

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie der unterschiedlichen Wahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen unterhält Bentley geeignete technische und organisatorische Maßnahmen, um ein dem Risiko der Verarbeitung personenbezogener Daten angemessenes Sicherheitsniveau zu gewährleisten. Bentley muss mindestens:

• Richtlinien und Standards für die Informationssicherheit verabschieden,
• Verantwortung für das Management der Informationssicherheit zuweisen,
• Personalressourcen in angemessenem Umfang für die Informationssicherheit bereitstellen,
• Referenz- oder Hintergrundüberprüfungen bei fest angestellten Mitarbeitenden durchführen, die Zugang zu personenbezogenen Daten haben sollen, und soweit dies für die Einhaltung von Vorschriften erforderlich ist (soweit dies in der jeweiligen Rechtsordnung praktikabel und rechtmäßig ist),
• alle Mitarbeitenden von Bentley zur Einhaltung einer schriftlichen Informationssicherheitspolitik verpflichten,
• Verfahren zur Verhinderung des unbefugten Zugriffs auf personenbezogene Daten durch den Einsatz von physischen und logischen Zugangskontrollen, sicheren Bereichen für die Verarbeitung und Instrumenten zur Verhinderung von Datenverlusten einrichten,
• die Einhaltung von Strategien und Standards im Bereich des Datenschutzes kontinuierlich sicherstellen.

Bentley ist berechtigt, die technischen und organisatorischen Maßnahmen nach eigenem Ermessen zu ändern, sofern dadurch das allgemeine Sicherheitsniveau der Dienste nicht beeinträchtigt wird. Weitere Informationen zu den technischen und organisatorischen Maßnahmen von Bentley finden Sie im Trust Center von Bentley, das von Zeit zu Zeit aktualisiert wird.

7. RECHT DES ABONNENTEN AUF PRÜFUNG

 Während der Laufzeit dieses DPA stellt Bentley dem Abonnenten auf Anfrage, nicht öfter als einmal pro Kalenderjahr und vorbehaltlich einer Geheimhaltungsvereinbarung, den letzten Prüfbericht eines unabhängigen Prüfers zur Verfügung, damit der Abonnent in angemessener Weise überprüfen kann, ob Bentley seine Datenschutzverpflichtungen einhält. Der Abonnent erklärt sich damit einverstanden, seine Prüfungs- und Einsichtsrechte ausschließlich durch Anforderung und Einsichtnahme in einen solchen Prüfbericht auszuüben. Sollte der Abonnent nach der Überprüfung des Vorstehenden zusätzliche Informationen benötigen, um die Erfüllung der Datenschutzverpflichtungen von Bentley nachzuweisen, muss der Abonnent Bentley schriftlich benachrichtigen und dabei genau angeben, welche Verpflichtung der Bericht nicht erfüllt, welche Mängel der Prüfbericht aufweist und für welche Bereiche zusätzliche Informationen angefordert werden. Nach der Überprüfung kann Bentley seinen unabhängigen Prüfer über die festgestellten Mängel informieren, damit dieser sie in seine Prüfungsverfahren aufnehmen kann. Nach dem Ermessen von Bentley wird Bentley angemessene Anstrengungen unternehmen, um die Anforderungen zu erfüllen und dem Abonnenten (entweder selbst oder einem registrierten zugelassenen Prüfer, der im Namen des Abonnenten handelt, vorbehaltlich der Geheimhaltungsverpflichtungen) Zugang zu zusätzlichen Richtlinien, Verfahren, Prozessen und/oder Nachweisen für das Funktionieren der Kontrollen zu gewähren. Der Abonnent muss Bentley mindestens 30 Tage im Voraus benachrichtigen, darf keine Kopien von zusätzlichen Unterlagen aufbewahren oder Kopien anfertigen und darf den Geschäftsbetrieb von Bentley nicht unangemessen stören. Der Abonnent ist für alle Kosten einer solchen Prüfung verantwortlich, und es können zusätzliche Gebühren zum Ausgleich der Bentley entstandenen Kosten anfallen.

8. VERWALTUNG UND BENACHRICHTIGUNG BEI DATENSCHUTZVERLETZUNGEN

Bentley verpflichtet sich, den Abonnenten unverzüglich zu benachrichtigen, sobald eine Datenschutzverletzung entdeckt wird. Im Zuge der Benachrichtigung des Abonnenten stellt Bentley dem Abonnenten, soweit möglich, ausreichende Informationen zur Verfügung, damit der Abonnent alle erforderlichen Benachrichtigungen innerhalb der von den Datenschutzgesetzen und -vorschriften vorgesehenen Fristen vornehmen kann. Diese Informationen können Folgendes umfassen, sind aber nicht notwendigerweise darauf beschränkt: (i) die Art der Datenschutzverletzung sowie die Kategorien und die ungefähre Anzahl der betroffenen Personen und der betroffenen personenbezogenen Datensätze; (ii) die wahrscheinlichen Folgen der Datenschutzverletzung, soweit die Folgen bestimmt werden können; und (iii) alle Maßnahmen, die zur Behebung oder Milderung der Datenschutzverletzung ergriffen wurden.

9. RÜCKGABE UND LÖSCHUNG VON PERSONENBEZOGENEN DATEN

Bentley wird die vom Abonnenten erhaltenen oder im Namen des Abonnenten erstellten personenbezogenen Daten nur so lange aufbewahren, wie es für die Erbringung der Dienstleistungen im Rahmen der Vereinbarung erforderlich ist oder wie es das geltende Recht vorschreibt. Auf Anfrage des Abonnenten erklärt sich Bentley bereit, die gemäß der Vereinbarung erhaltenen oder erstellten personenbezogenen Daten zurückzugeben oder zu vernichten, soweit dies nach geltendem Recht zulässig ist.

10. HAFTUNGSBESCHRÄNKUNG

 Die Gesamthaftung des Abonnenten und von Bentley (und ihrer jeweiligen Mitarbeitenden, Vorstandsmitglieder, Führungskräfte, verbundenen Unternehmen, Rechtsnachfolger und Abtretungsempfänger), die sich aus diesem DPA ergibt oder damit zusammenhängt, unabhängig davon, ob es sich um einen Vertrag, eine unerlaubte Handlung oder eine andere Haftungstheorie handelt, unterliegt dem Abschnitt „Haftungsbeschränkung“ der Vereinbarung, und jeder Verweis in diesem Abschnitt auf die Haftung einer Partei bedeutet die Gesamthaftung dieser Partei und aller ihrer verbundenen Unternehmen im Rahmen der Vereinbarung und aller DPAs zusammen.

11. BESONDERE EUROPÄISCHE BESTIMMUNGEN

 11.1. DSGVO. Bentley verarbeitet personenbezogene Daten in Übereinstimmung mit den DSGVO-Anforderungen, die für die Erbringung der Dienstleistungen von Bentley unmittelbar gelten.

11.2. Datenschutz-Folgenabschätzung. Bentley unterstützt den Abonnenten in angemessenem Umfang bei Datenschutz-Folgenabschätzungen und/oder vorherigen Konsultationen, die in Bezug auf die im Rahmen der Vereinbarung durchgeführten Verarbeitungen erforderlich sein können, soweit dies gemäß der DSGVO erforderlich ist.

11.3. Benachrichtigung über die Inspektion. Bentley verpflichtet sich, den Abonnenten über jede Inspektion oder Prüfung durch eine Aufsichtsbehörde bezüglich der Einhaltung von Datenschutzgesetzen und -vorschriften zu informieren, soweit diese mit den im Rahmen dee Vereinbarung erbrachten Diensten in Zusammenhang stehen. Bentley wird auf Anfrage des Abonnenten in angemessenem Umfang mit den zuständigen Aufsichtsbehörden zusammenarbeiten.

11.4. Übermittlungsmechanismen für Datenübermittlungen. Bentley stellt den in Anhang 1 aufgeführten Übermittlungsmechanismus zur Verfügung, der für alle Übermittlungen personenbezogener Daten im Rahmen dieses DPA aus der Europäischen Union, dem Europäischen Wirtschaftsraum und/oder ihren Mitgliedstaaten, der Schweiz und dem Vereinigten Königreich in Länder gilt, die kein angemessenes Datenschutzniveau im Sinne der Datenschutzgesetze und -vorschriften der vorgenannten Gebiete gewährleisten, soweit diese Übermittlungen diesen Datenschutzgesetzen und -vorschriften unterliegen. Darüber hinaus enthält Anhang 1 zusätzliche Bedingungen für die Anwendung der darin festgelegten Übermittlungsmechanismen.

12. SONSTIGES

12.1. Rechtswirkung. Dieses DPA kann in mehreren Exemplaren ausgefertigt werden, wobei jedes Exemplar als Original gilt, alle Exemplare zusammen jedoch als ein und dieselbe Vereinbarung betrachtet werden. Eine unterzeichnete Kopie dieses DPA, die per Fax, E-Mail oder auf anderem elektronischem Wege übermittelt wird (und der eine unterzeichnete PDF-Kopie angehängt ist), hat dieselbe Rechtswirkung wie die Übermittlung einer unterzeichneten Originalkopie dieses DPA.

12.2. Rechtsprechungsspezifischer Begriff. Soweit Bentley personenbezogene Daten verarbeitet, die aus einem der in Anhang 5 (Rechtsprechungsspezifische Bestimmungen) dieses DPA aufgeführten Länder stammen und dort durch Datenschutzgesetze und -vorschriften geschützt sind, gelten die in Anhang 5 aufgeführten Bestimmungen in Bezug auf die anwendbare(n) Rechtsprechung(en) zusätzlich zu den Bestimmungen dieses DPA.

 12.3. Widerspruch. Im Falle eines Widerspruchs oder einer Unstimmigkeit zwischen dem Hauptteil dieses DPA (einschließlich aller seiner Anhänge und Anlagen, die nicht zu den EU-Standardvertragsklauseln gehören) und den EU-Standardvertragsklauseln haben die EU-Standardvertragsklauseln Vorrang.

Liste der Anhänge

Anhang 1: Übermittlungsmechanismen und zusätzliche Bedingungen für europäische Datenübermittlungen

Anhang 2: Einzelheiten der Verarbeitung und Übermittlung personenbezogener Daten

Anhang 3: SCC-Matrix

Anhang 4 : Kontaktangaben der Parteien und Angabe der zuständigen Aufsichtsbehörde

Anhang 5: Rechtsprechungsspezifische Bestimmungen

ANHANG 1 – ÜBERMITTLUNGSMECHANISMEN UND ZUSÄTZLICHE BEDINGUNGEN FÜR EUROPÄISCHE DATENÜBERMITTLUNGEN

In diesem Anhang 1 sind die Übermittlungsmechanismen für die Übermittlung personenbezogener Daten des Abonnenten, die den geltenden Datenschutzgesetzen in der Europäischen Union, dem Europäischen Wirtschaftsraum und/oder ihren Mitgliedstaaten, der Schweiz und dem Vereinigten Königreich unterliegen, an Bentley Systems, Incorporated als Ansprechpartner („Europäische Datenübermittlungen“) sowie zusätzliche Bestimmungen über den Umfang und die Anwendung dieser Übermittlungsmechanismen bei der Nutzung der von Bentley bereitgestellten Dienste festgelegt.

Europäische Datenübermittlungen

Dieser Abschnitt gilt für die Übermittlung der personenbezogenen Daten des Abonnenten an Bentley Systems, Incorporated bei der Nutzung der Bentley-Dienste, sofern die Übermittlung dieser personenbezogenen Daten der DSGVO unterliegt.

1.1. Anwendung der EU-Standardvertragsklauseln

Falls personenbezogene Daten des Abonnenten, die der DSGVO unterliegen, an Bentley Systems, Incorporated übermittelt werden, unterliegt eine solche Übermittlung den EU-Standardvertragsklauseln. Die EU-Standardvertragsklauseln enthalten mehrere Module, die je nachdem, welche Einrichtung die personenbezogenen Daten des Abonnenten exportiert und importiert, Anwendung finden.

• Wenn die Vertragspartei dieses DPA Bentley Systems International Limited ist, gilt Modul 3 der EU-Standardvertragsklauseln (Übermittlung von Auftragsverarbeiter an Auftragsverarbeiter) für und zwischen Bentley Systems International Limited als „Datenexporteur“ und Bentley Systems, Incorporated als „Datenimporteur“ in Bezug auf die Übermittlung der personenbezogenen Daten des Abonnenten an Bentley Systems, Incorporated. Bentley stellt dem Abonnenten auf Anfrage eine Kopie der zwischen Bentley Systems International Limited und Bentley Systems, Incorporated geschlossenen EU-Standardvertragsklauseln zur Verfügung.
• Wenn die Vertragspartei dieses DPA Bentley Systems, Incorporated ist, gilt Modul 2 der EU-Standardvertragsklauseln (Verantwortlicher an Auftragsverarbeiter) für und zwischen dem Abonnenten als „Datenexporteur“ und Bentley Systems, Incorporated als „Datenimporteur“ in Bezug auf die Übermittlung der personenbezogenen Daten des Abonnenten an Bentley Systems, Incorporated. In diesem Fall muss der Abonnent das in Abschnitt 1.2. dieses Anhangs 1 definierte Ausführungsverfahren einhalten.

1.2. Ausführungsprozess für Modul 2 der EU-Standardvertragsklauseln

Falls Modul 2 der EU-Standardvertragsklauseln, wie in Abschnitt 1.1 dieses Anhangs 1 definiert, Anwendung findet, muss der Abonnent den folgenden Ausführungsprozess einhalten:

Anhang 3 enthält eine Matrix („SCC-Matrix“), in der angegeben ist, welche der in Modul 2 der EU-Standardvertragsklauseln vorgesehenen Optionen anwendbar sind und wo die in den Anhängen der EU-Standardvertragsklauseln geforderten Informationen über die Übermittlung personenbezogener Daten im DPA festgelegt sind.

1.3. Ergänzende Maßnahmen

Bentley ergreift die folgenden zusätzlichen Maßnahmen, um ein angemessenes Schutzniveau gemäß Artikel 44 ff. DSGVO für die an Bentley Systems, Incorporated übermittelten personenbezogenen Daten des Abonnenten zu gewährleisten, vorausgesetzt, Bentley ist nach geltendem Recht nicht daran gehindert, diese zusätzlichen Maßnahmen einzuhalten:

• Bentley benachrichtigt den Abonnenten unverzüglich, wenn eine Behörde Zugriff auf die personenbezogenen Daten des Abonnenten verlangt. Sollte Bentley aufgrund des geltenden Rechts daran gehindert sein, den Abonnenten zu benachrichtigen, sorgt Bentley unverzüglich dafür, dass die Übermittlung personenbezogener Daten in das Land, das den Zugriff beantragt hat, eingestellt wird, und benachrichtigt den Abonnenten, dass dies der Fall war. Die Parteien nehmen Gespräche darüber auf, wie die Situation entschärft werden kann.
• Bentley ergreift unverzüglich alle verfügbaren Rechtsmittel gegen Datenzugriffsanfragen von Behörden und gibt keine personenbezogenen Daten weiter, bis dies durch eine rechtskräftige Gerichtsentscheidung angeordnet wird.
• Bentley unterstützt den Abonnenten durch Bereitstellung von Informationen im angemessenen Umfang, wenn der Abonnent beschließt, die betroffenen Personen zu informieren, wenn ihre personenbezogenen Daten von einem Antrag auf Datenzugriff durch eine Behörde betroffen sind.
• Bentley stellt dem Abonnenten regelmäßig einen Transparenzbericht über die von Behörden erhaltenen Anträge auf Zugriff auf personenbezogene Daten in zusammengefasster Form zur Verfügung, der mindestens Informationen über die Anzahl der Datenanfragen, die Art der angeforderten Daten, die anfragende Behörde und den Umfang, in dem Bentley personenbezogene Daten an solche Behörden weitergegeben hat, enthält.
• Bentley überwacht ständig alle rechtlichen oder politischen Entwicklungen, die dazu führen könnten, dass Bentley nicht in der Lage ist, die Verpflichtungen aus den EU-Standardvertragsklauseln einzuhalten, und informiert den Abonnenten unverzüglich über solche Änderungen und Entwicklungen.
• Bentley bestätigt hiermit, dass Bentley nicht absichtlich Backdoor-Programme oder ähnliche Programme erstellt hat, die für den Zugriff auf die Systeme von Bentley und/oder die darin gespeicherten personenbezogenen Daten des Abonnenten verwendet werden könnten.

Weitere Informationen zu den zusätzlichen Schutzmaßnahmen sind auf Anfrage erhältlich.

ANHANG 2 – DETAILS DER VERARBEITUNG UND ÜBERMITTLUNG PERSONENBEZOGENER DATEN

In diesem Anhang 2 sind die Informationen über die Verarbeitung und die Übermittlung personenbezogener Daten gemäß Abschnitt 2.5 des DPA aufgeführt.

Beschreibung der Verarbeitungstätigkeiten und der Rollen der Vertragsparteien

Die Nutzung der Dienste von Bentley durch den Abonnenten beinhaltet die Verarbeitung personenbezogener Daten durch Bentley im Namen des Abonnenten. Jegliche Verarbeitung der personenbezogenen Daten des Abonnenten wird von Bentley als Auftragsverarbeiter durchgeführt, wobei der Abonnent als Verantwortlicher agiert.

Die Verarbeitung der personenbezogenen Daten des Abonnenten durch Bentley umfasst die Erhebung, Übermittlung, Speicherung und andere Verarbeitungstätigkeiten, die erforderlich sind, um die von Bentley für den Abonnenten über die Systeme von Bentley bereitgestellten Dienste zu erbringen, zu warten und zu aktualisieren. Alle personenbezogenen Daten, die in den Systemen von Bentley bei der Nutzung der von Bentley bereitgestellten Dienste verarbeitet werden, werden an Server in den Vereinigten Staaten, die von Bentley Systems, Incorporated betrieben werden, übermittelt und dort gespeichert.

Art und Zweck der Verarbeitung

Bentley verarbeitet personenbezogene Daten in dem Maße, wie es für die Erbringung der Dienste gemäß der Vereinbarung erforderlich ist, wie es in der Dokumentation näher beschrieben ist und wie es vom Abonnenten bei der Nutzung der Dienste weiter angewiesen wird.

Dauer der Verarbeitung

Vorbehaltlich Abschnitt 9 des DPA verarbeitet Bentley personenbezogene Daten für die Dauer der Vereinbarung, es sei denn, es wurde schriftlich etwas anderes vereinbart.

 Kategorien von betroffenen Personen 

Der Abonnent kann personenbezogene Daten an die Dienste übermitteln, deren Umfang vom Abonnenten nach eigenem Ermessen bestimmt und kontrolliert wird und die personenbezogene Daten der folgenden Kategorien von betroffenen Personen enthalten können, aber nicht darauf beschränkt sind:

• Geschäftspartner und Anbieter des Abonnenten (die natürliche Personen sind)
• Angestellte, Vertreter, Berater, freiberufliche Mitarbeitende des Abonnenten (die natürliche Personen sind)
• Anwender des Abonnenten, die vom Abonnenten zur Nutzung der Dienste autorisiert wurden (natürliche Personen)

Kategorien personenbezogener Daten

Der Abonnent kann personenbezogene Daten an die Dienste übermitteln, deren Umfang vom Abonnenten nach eigenem Ermessen bestimmt und kontrolliert wird und die die folgenden Kategorien personenbezogener Daten umfassen können, aber nicht darauf beschränkt sind:

• Lokalisierungsdaten Abonnenten-ID-Daten
• Vor- und Nachname
• Kontaktinformationen (Unternehmen, E-Mail, Telefon, physische Geschäftsadresse)
• Alle personenbezogenen Daten, die vom Abonnenten in der Cloud-Umgebung von Bentley gespeichert werden
• Personenbezogene Daten des Abonnenten, die im Zusammenhang mit der Vereinbarung in die Dienste hochgeladen wurden

Besondere Datenkategorien (falls zutreffend)

Nicht zutreffend.

Häufigkeit der Übermittlung

Die Nutzung der Bentley-Dienste durch den Abonnenten während der Laufzeit des Abonnements beinhaltet eine fortlaufende Übermittlung von personenbezogenen Daten.

Aufbewahrungsfristen

Bentley bewahrt die personenbezogenen Daten des Abonnenten während der Laufzeit des Abonnements auf. Wenn die Abonnementbedingungen des Abonnenten enden, stellt Bentley die Übermittlung und Verarbeitung der personenbezogenen Daten des Abonnenten ein und gibt diese personenbezogenen Daten gemäß den Bestimmungen dieses DPA zurück oder löscht sie.

Übermittlung an (Unter-) Auftragsverarbeiter 

Bentley setzt bei der Bereitstellung seiner Dienste für den Abonnenten bestimmte (Unter-) Auftragsverarbeiter ein. Zu diesem Zweck kann ein solcher (Unter-) Auftragsverarbeiter auch die personenbezogenen Daten des Abonnenten verarbeiten. Weitere Informationen über die Funktion dieser (Unter-) Auftragsverarbeiter sowie über den Gegenstand, die Art und die Dauer der von diesen (Unter-) Auftragsverarbeitern durchgeführten Verarbeitung finden Sie im Trust Center von Bentley.

Technische und organisatorische Maßnahmen

Bentley unterhält administrative, physische und technische Sicherheitsvorkehrungen zum Schutz der Sicherheit, Vertraulichkeit und Integrität personenbezogener Daten, die im Zusammenhang mit der Erbringung der Dienste verarbeitet werden, wie im Trust Center von Bentley beschrieben oder anderweitig von Bentley in angemessener Weise zur Verfügung gestellt.

ANHANG 3 – SCC-MATRIX

Dieser Anhang 3 gilt nur, wenn Bentley Systems, Incorporated die Vertragspartei dieses DPA ist und Modul 2 der EU-Standardvertragsklauseln für und zwischen dem Abonnenten und Bentley Systems, Incorporated gemäß der Definition in Abschnitt 1.1 von Anhang 1 gilt. Anhang 3 gilt nicht, wenn Bentley Systems International Limited die Vertragspartei dieses DPA ist.

In diesem Anhang 3 sind die wählbaren Optionen sowie die erforderlichen Informationen über die Übermittlung in ein Drittland aufgeführt, die nach den EU-Standardvertragsklauseln erforderlich sind.

ANHANG 4 – KONTAKTDATEN DER PARTEIEN UND ANGABE DER ZUSTÄNDIGEN AUFSICHTSBEHÖRDE

Dieser Anhang 4 gilt nur, wenn Bentley Systems, Incorporated die Vertragspartei dieses DPA ist und Modul 2 der EU-Standardvertragsklauseln für und zwischen dem Abonnenten und Bentley Systems, Incorporated gemäß der Definition in Abschnitt 1.1 von Anhang 1 gilt. Anhang 4 gilt nicht, wenn Bentley Systems International Limited die Vertragspartei dieses DPA ist.

Dieser Anhang 4 enthält die Kontaktdaten des Datenexporteurs und des Datenimporteurs gemäß Anhang I der EU-Standardvertragsklauseln, soweit diese Informationen nicht bereits in diesem DPA und den anderen Anhängen 1 bis 3 aufgeführt sind, sowie die Identität der zuständigen Kontrollstelle gemäß Artikel 13 der EU-Standardvertragsklauseln.

Kontakt von Bentley Systems, Incorporated  

Datenschutzbeauftragter: dpo@bentley.com

Kontaktperson(en) des Abonnenten und/oder Datenschutzbeauftragte(r) (falls zutreffend)

Name: wie in der Vereinbarung angegeben

Funktion, Titel: wie in der Vereinbarung angegeben

Kontaktdaten: wie in der Vereinbarung angegeben

Vertreter des Abonnenten in der EU (falls zutreffend)

Name: wie in der Vereinbarung angegeben

Kontaktdaten: wie in der Vereinbarung angegeben

Identifizierung der zuständigen Aufsichtsbehörde(n) gemäß Klausel 13

Name: zuständige Aufsichtsbehörde in dem Land, in dem der Datenexport stattfindet, wie in der Vereinbarung näher definiert.

ANHANG 5 : GERICHTSSPEZIFISCHE BESTIMMUNGEN

Australien:

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst die Australian Privacy Principles (Australische Datenschutzgrundsätze) und das Australian Privacy Act (Australisches Datenschutzgesetz) von 1988.
• Die Definition von „personenbezogenen Daten“ umfasst „persönliche Informationen“, wie sie in den Datenschutzgesetzen und -vorschriften definiert sind.

Brasilien:

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst das Lei Geral de Proteção de Dados („LGPD“).
• Die Definition von „Auftragsverarbeiter“ schließt „Betreiber“ gemäß der Definition im LGPD ein.

Kanada:

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst das Bundesgesetz zum Schutz personenbezogener Daten und elektronischer Dokumente („PIPEDA“).
• Bentleys Unterauftragsverarbeiter, wie in Abschnitt 5 (Unterauftragsverarbeiter) dieses DPA beschrieben, sind Dritte im Sinne des PIPEDA, mit denen Bentley einen schriftlichen Vertrag abgeschlossen hat, der im Wesentlichen ähnliche Bedingungen wie dieses DPA enthält. Bentley hat eine entsprechende Sorgfaltsprüfung bei seinen Unterauftragsverarbeitern durchgeführt.

Israel:

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst das Gesetz zum Schutz der Privatsphäre („PPL“).
• Die Definition des Begriffs „Verantwortlicher“ schließt den Begriff „Datenbankeigentümer“ gemäß der Definition im PPL ein.
• Die Definition von „Auftragsverarbeiter“ schließt den „Inhaber“ gemäß der Definition im PPL ein.

Japan:

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst das Gesetz über den Schutz personenbezogener Daten („APPI“).
• Die Definition von „personenbezogene Daten“ umfasst „persönliche Informationen“, wie sie im APPI definiert sind.
• Die Definition von „Verantwortlicher“ schließt den „Geschäftsbetreiber“ gemäß der Definition des APPI ein. Als Geschäftsbetreiber ist Bentley für den Umgang mit den in seinem Besitz befindlichen personenbezogenen Daten verantwortlich.
• Die Definition von „Auftragsverarbeiter“ schließt einen Unternehmer ein, der vom Geschäftsbetreiber ganz oder teilweise mit der Verarbeitung personenbezogener Daten betraut ist (auch „Treuhänder“), wie unter dem APPI beschrieben. Als Treuhänder wird Bentley dafür sorgen, dass die Verwendung der anvertrauten personenbezogenen Daten sicher kontrolliert wird.

Mexiko:

• Die Definition von „Datenschutzgesetzen und -verordnungen“ umfasst das Bundesgesetz über den Schutz personenbezogener Daten bei privaten Parteien und seine Verordnungen („FLPPIPPE“).

Singapur:

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst das Gesetz zum Schutz personenbezogener Daten von 2012 („PDPA“). Bentley wird personenbezogene Daten gemäß dem PDPA verarbeiten, indem geeignete technische und organisatorische Maßnahmen, wie in Abschnitt 6 (Sicherheit) dieses DPA dargelegt, getroffen werden und die Bedingungen der Vereinbarung eingehalten werden.

Schweiz:

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst das Schweizer Bundesgesetz über den Datenschutz.
• Wenn Bentley einen Unterauftragsverarbeiter gemäß Abschnitt 5 (Unterauftragsverarbeiter) dieses DPA einsetzt, wird Bentley: (a) von jedem ernannten Unterauftragsverarbeiter verlangen, dass er die Daten des Abonnenten gemäß dem von den Datenschutzgesetzen und -vorschriften geforderten Standard schützt, z. B. einschließlich der gleichen Datenschutzverpflichtungen, auf die in Artikel 28 Absatz 3 der DSGVO Bezug genommen wird, insbesondere die Bereitstellung ausreichender Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen in einer Weise, dass die Verarbeitung die Anforderungen der DSGVO erfüllt, und (b) von allen ernannten Unterauftragsverarbeitern verlangen, dass sie (i) sich schriftlich verpflichten, personenbezogene Daten nur in einem Land zu verarbeiten, dem die Europäische Union ein „angemessenes“ Schutzniveau bescheinigt hat, oder (ii) personenbezogene Daten nur zu Bedingungen verarbeiten, die den EU-Standardvertragsklauseln gleichwertig sind, oder gemäß einer von den zuständigen Datenschutzbehörden der Europäischen Union erteilten Genehmigung der verbindlichen Unternehmensregeln.

Vereinigtes Königreich (UK):

• Verweise in diesem DPA auf die DSGVO gelten insoweit als Verweise auf die entsprechenden Gesetze des Vereinigten Königreichs (einschließlich der britischen DSGVO und des Datenschutzgesetzes von 2018).
• Wenn Bentley einen Unterauftragsverarbeiter gemäß Abschnitt 5 (Unterauftragsverarbeiter) dieses DPA einsetzt, wird Bentley: (a) von jedem ernannten Unterauftragsverarbeiter verlangen, dass er die Daten des Abonnenten gemäß dem von den Datenschutzgesetzen und -vorschriften geforderten Standard schützt, z. B. einschließlich der gleichen Datenschutzverpflichtungen, auf die in Artikel 28 Absatz 3 der DSGVO Bezug genommen wird, insbesondere die Bereitstellung ausreichender Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen in einer Weise, dass die Verarbeitung die Anforderungen der DSGVO erfüllt, und (b) von allen ernannten Unterauftragsverarbeitern verlangen, dass sie (i) sich schriftlich verpflichten, personenbezogene Daten nur in einem Land zu verarbeiten, dem das Vereinigte Königreich ein „angemessenes“ Schutzniveau bescheinigt hat, oder (ii) personenbezogene Daten nur zu Bedingungen zu verarbeiten, die den EU-Standardvertragsklauseln gleichwertig sind, oder gemäß einer von den zuständigen Datenschutzbehörden des Vereinigten Königreichs erteilten Genehmigung der verbindlichen Unternehmensregeln.
• Ungeachtet gegenteiliger Bestimmungen in diesem DPA oder in der Vereinbarung (einschließlich, aber nicht beschränkt auf die Entschädigungsverpflichtungen der Parteien) ist keine der Parteien für Geldbußen im Rahmen der DSGVO des Vereinigten Königreichs verantwortlich, die gemäß Artikel 83 der DSGVO des Vereinigten Königreichs von einer Aufsichtsbehörde oder staatlichen Stelle gegen die andere Partei im Zusammenhang mit dem Verstoß der anderen Partei gegen die DSGVO des Vereinigten Königreichs verhängt oder erhoben werden.