VEREINBARUNG ÜBER DIE DATENVERARBEITUNG 

Diese Vereinbarung über die Datenverarbeitung zwischen Verantwortlichen und ihre Anhänge („C2C-DPA“) ist Bestandteil der Konzernvertriebsvereinbarung oder einer anderen Vereinbarung, die von Ihnen („Gruppe“) und dem Hotel (im Folgenden „Hotel“) geschlossen wurde und in der auf diese C2C-DPA Bezug genommen wird oder in der diese anderweitig einbezogen wird („Vereinbarung“). Gruppe und Hotel werden nachfolgend gemeinsam als „Parteien“ und einzeln als „Partei“ bezeichnet.

Außer wie nachfolgend angegeben, haben alle großgeschriebenen Begriffe, die nicht in dieser C2C-DPA definiert sind, die in der Vereinbarung festgelegte Bedeutung. Mit Ausnahme der nachfolgend aufgeführten Änderungen bleiben die Bedingungen der Vereinbarung in vollem Umfang in Kraft und wirksam.

Die folgenden Verpflichtungen gelten, soweit zutreffend, nur in dem vom Datenschutzgesetz (wie unten definiert) in Bezug auf die relevanten personenbezogenen Daten (wie unten definiert) geforderten Umfang. Diese DPA hat Vorrang vor früheren Vereinbarungen in Bezug auf die Verarbeitung personenbezogener Daten (wie unten definiert).

1. Definitionen und Auslegung

1.1. In dieser C2C-DPA werden den nachfolgend genannten Begriffen die folgenden Bedeutungen zugewiesen:

 1.2. Für andere Begriffe, die weder in diesem Artikel 1 noch an anderer Stelle in dieser C2C-DPA definiert sind, wird auf die im Datenschutzrecht vorgesehene Definition Bezug genommen.

 1.3. Im Falle eines Widerspruchs zwischen der C2C-DPA oder einem Nachtrag zu dieser Vereinbarung und der Vereinbarung haben die C2C-DPA und der Nachtrag Vorrang.

 1.4. Im Falle eines Konflikts zwischen dieser C2C-DPA und etwaigen Ergänzungen zu dieser C2C-DPA (einschließlich der SCC) gilt die jeweils strengere Bestimmung.

2. Zweck der Verarbeitung

 2.1. Sofern in der Vereinbarung oder dieser C2C-DPA nichts anderes vereinbart wurde oder wenn eine Partei die gültige Einwilligung einer betroffenen Person eingeholt hat, darf jede Partei personenbezogene Daten, die sie von der anderen Partei erhalten hat, nur verarbeiten, sofern dies zur Erfüllung ihrer Verpflichtungen aus der Vereinbarung und dieser C2C-DPA (einschließlich der SCC) erforderlich ist.

3. Gültigkeitsdauer:

 3.1. Die C2C-DPA tritt am Datum des Inkrafttretens der Vereinbarung in Kraft und ist für die Dauer der Vereinbarung gültig.

 3.2. Alle Klauseln dieser C2C-DPA bleiben jedoch auch nach Ablauf und Beendigung der Vereinbarung bestehen, sofern sie sich auf personenbezogene Daten beziehen, die während der Dauer der Vereinbarung verarbeitet wurden.

4. Pflichten der Parteien

 4.1. Im Rahmen der Umsetzung dieser C2C-DPA bleibt jede Partei unabhängig voneinander Datenverantwortlicher. Für Zwecke des CCPA und nur soweit anwendbar, vereinbaren die Parteien, dass (i) jede Partei als Dritter und die andere als Unternehmen fungiert und (ii) die Übermittlung personenbezogener Daten zwischen den Parteien kein Verkauf ist, da sie nicht gegen eine monetäre oder andere werthaltige Gegenleistung erfolgt; es gilt die Ausnahme gemäß Cal. Civil Code § 1798.140(ad)(2)(A).

 4.2. Insoweit verpflichtet sich jede Partei, personenbezogene Daten in Übereinstimmung mit dieser C2C-DPA und dem Datenschutzgesetz zu verarbeiten, insbesondere durch Information der betroffenen Personen und Gewährleistung des Schutzes ihrer Rechte, Gewährleistung der Sicherheit und Vertraulichkeit der verarbeiteten personenbezogenen Daten, unter anderem durch Einführung interner organisatorischer und Sicherheitsmaßnahmen und durch Gewährleistung der Rechtmäßigkeit der Verarbeitung, Einholung einer gültigen Einwilligung der betroffenen Person für die Verarbeitung kanadischer personenbezogener Daten und Aufbewahrung des Nachweises einer solchen Einwilligung.

 4.3. Jede Partei (i) hat das Recht, angemessene Maßnahmen zu ergreifen, sodass die andere Partei personenbezogene Daten in einer Weise verwendet, die den Verpflichtungen der Partei gemäß dem Datenschutzgesetz entspricht; (ii) benachrichtigt die andere Partei, wenn sie feststellt, dass sie ihre Verpflichtungen gemäß dem Datenschutzgesetz nicht mehr erfüllen kann; (iii) hat das Recht, nach Mitteilung an die andere Partei angemessene und geeignete Maßnahmen zu ergreifen, um die unbefugte Nutzung personenbezogener Daten zu stoppen und zu beheben.

 4.4. Jede Partei informiert die andere Partei über alle Beschwerden, Anträge oder Anfragen, die von betroffenen Personen in Bezug auf die personenbezogenen Daten erhalten wurden, die sie von der anderen Partei erhalten hat, insbesondere bei Anfragen zur Ausübung ihrer Rechte auf Zugriff, Berichtigung, Löschung, Einschränkung, Information, Datenübertragbarkeit, Widerruf der Einwilligung oder auf Abgabe von Stellungnahmen im Falle eines automatisierten Entscheidungsfindungssystems. Die Partei, die eine Beschwerde, einen Antrag oder eine Anfrage erhält, antwortet den betroffenen Personen in Übereinstimmung mit den SCC und dem Datenschutzgesetz. Die andere Partei stellt alle in angemessenem Umfang angeforderten Informationen und Unterstützung zur Verfügung.

 4.5. Jede Partei benachrichtigt die andere Partei unverzüglich über Sicherheitsvorfälle. Im Falle eines Sicherheitsvorfalls hat die Partei, die von dem Sicherheitsvorfall betroffen ist, unverzüglich angemessene Abhilfemaßnahmen zu ergreifen. Jede Partei leistet der anderen Partei jede angemessene Zusammenarbeit, um den Sicherheitsvorfall in Übereinstimmung mit den SCC und dem Datenschutzgesetz zu handhaben, wie z. B. durch angemessene Information der Aufsichtsbehörden oder eines anderen zuständigen Datenschutzbeauftragten oder einer anderen zuständigen Datenschutzbehörde und der betroffenen Personen.

5. Übermittlung personenbezogener Daten

 5.1. Die Parteien erkennen an, dass das Datenschutzgesetz Beschränkungen für die Übermittlung personenbezogener Daten auferlegt. Soweit zutreffend, darf jede Partei personenbezogene Daten nur in Verbindung mit dieser Vereinbarung, in Übereinstimmung mit dem geltenden Datenschutzgesetz und vorbehaltlich dieses Artikels 5 übertragen.

 5.2. Übermittlungen aus dem EWR. Wenn eine Übermittlung aus dem EWR erfolgt, werden die SCC in diese DPA einbezogen und gelten für die Übermittlung wie folgt:

 (i) Modul Eins gilt;

 (ii) In Klausel 7 gilt die optionale Andockklausel;

 (iii) In Klausel 11(a) gilt die optionale Formulierung nicht;

 (iv) In Klausel 17 gilt Option 1, wobei das geltende Recht das Recht Frankreichs ist;

 (v) In Klausel 18(b) werden Streitigkeiten vor den Gerichten Frankreichs beigelegt;

 (vi) Anhang I der SCC wird mit den Informationen in Anhang I dieses DPA ausgefüllt;

 (vii) Anhang II der SCC wird mit den Informationen in Anhang II dieses DPA ausgefüllt.

 5.3. Übermittlungen aus der Schweiz. Wenn eine Übertragung aus der Schweiz erfolgt, werden die SCC in diese DPA aufgenommen und gelten für die Übertragung in der in Artikel 5.2 geänderten Form. Es gelten folgende Ausnahmen:

 (i) Verweise auf den „Mitgliedstaat“ in den SCC beziehen sich auf die Schweiz, und betroffene Personen in der Schweiz können ihre Rechte gemäß den SCC in der Schweiz ausüben und durchsetzen; und

 (ii) Verweise auf die „Datenschutz-Grundverordnung“, die „Verordnung 2016/679“ und die „DSGVO“ in den SCC beziehen sich auf das Schweizer Bundesgesetz über den Datenschutz (in der geänderten oder ersetzten Fassung).

 5.4. Übermittlungen aus dem Vereinigten Königreich. Wenn eine Übertragung aus dem Vereinigten Königreich erfolgt, wird der UK Transfer Addendum in dieses DPA aufgenommen und gilt für die Übertragung. Tabelle 1 wird mit den in Anhang I bereitgestellten Informationen ausgefüllt. Tabelle 2 wird mit den Informationen in Artikel 5.2 ausgefüllt. Tabelle 3 wird mit den in den Anhängen I und II bereitgestellten Informationen ausgefüllt. Tabelle 4 wird mit dem gewählten „Importeur“ und „Exporteur“ ausgefüllt. Teil 2 ist ausgewählt.

 5.5. Sofern nicht anders vereinbart, stellt das Hotel der Gruppe, soweit dies nach dem Datenschutzgesetz erforderlich ist, alle vernünftigerweise erforderliche Unterstützung und Informationen zur Verfügung, damit die Gruppe eine TIA durchführen kann. Die Parteien sind sich einig, dass das Ergebnis einer TIA eine Änderung dieser C2C-DPA erfordern kann. Die Verpflichtungen des Hotels gemäß diesem Artikel gelten unbeschadet der Garantien und Verpflichtungen des Hotels gemäß Klausel 14 der SCC.

 5.6. Wenn die Gruppe auf der Grundlage der TIA zur Überzeugung kommt, dass die Gesetze oder Praktiken des nicht sicheren Landes das Hotel daran hindern oder hindern könnten, seine Verpflichtungen aus den SCC oder dem UK Transfer Addendum zu erfüllen, und die Gruppe der Ansicht ist, dass es keine zusätzlichen Maßnahmen gibt, die ein im Wesentlichen gleichwertiges und ausreichendes Schutzniveau für eine bestimmte Übermittlung gewährleisten, oder solche Maßnahmen nicht akzeptabel sind (z. B. aufgrund der Kosten dieser Maßnahmen oder der negativen Auswirkungen, die sie auf die Gruppe haben könnten), kann die Gruppe die Übermittlung ablehnen oder aussetzen, indem sie dem Hotel eine schriftliche Mitteilung zukommen lässt. In diesem Fall gilt Artikel 5.8.

 5.7. Wenn das Hotel die Gruppe darüber informiert, dass es gemäß SCC oder dem UK Transfer Addendum Grund zu der Annahme hat, dass es Gesetzen oder Praktiken unterliegt, die das Hotel daran hindern, seine Verpflichtungen aus den SCC oder dem UK Transfer Addendum zu erfüllen, stellt das Hotel der Gruppe unverzüglich alle vernünftigerweise erforderliche Unterstützung und Informationen zur Verfügung, damit die Gruppe beurteilen kann, ob zusätzliche Maßnahmen von der Gruppe oder dem Hotel ergriffen werden können, um die Situation anzugehen. Wenn die Gruppe feststellt, dass es keine zusätzlichen Maßnahmen gibt, die ein im Wesentlichen gleichwertiges und ausreichendes Schutzniveau für die spezifische Übermittlung gewährleisten können, oder wenn solche Maßnahmen nicht akzeptabel sind (z. B. aufgrund der Kosten dieser Maßnahmen oder der negativen Auswirkungen, die sie auf die Gruppe haben), kann die Gruppe die Übermittlung aussetzen, worüber sie das Hotel schriftlich informiert. In diesem Fall gilt Artikel 5.8. Nach Erhalt der Mitteilung ergreift das Hotel unverzüglich alle Maßnahmen, um eine solche Aussetzung umzusetzen. Dieser Artikel gilt mutatis mutandis, wenn die Gruppe ansonsten Grund zur Annahme hat, dass das Hotel die SCC oder den UK Transfer Addendum nicht mehr einhalten kann.

 5.8. Diese Rechte der Gruppe gemäß diesem Artikel 5 gelten unbeschadet aller anderen Rechte der Gruppe im Rahmen der Vereinbarung, dieser C2C-DPA oder nach Gesetz.

6. Sicherheitsmaßnahmen

 6.1. Jede Partei unterhält ein umfassendes, schriftliches Informations-Sicherheitsprogramm, das administrative, technische und physische Sicherheitsvorkehrungen enthält, die (a) der Größe, dem Umfang und der Art des Geschäftsbetriebs jeder Partei angemessen sind; (b) der Art und der Sensibilität der Informationen gerecht werden, die die Parteien verarbeiten; und (c) der Notwendigkeit der Sicherheit und Vertraulichkeit solcher Informationen („Sicherheitsprogramm“) entsprechen. In Bezug auf das Sicherheitsprogramm des Hotels umfasst dieses die in Anhang II aufgeführten Maßnahmen und ist darauf ausgelegt: (a) die Vertraulichkeit, Integrität und Verfügbarkeit der persönlichen Daten zu schützen; (b) vor erwarteten Bedrohungen oder Gefahren für die Vertraulichkeit, Integrität und Verfügbarkeit der persönlichen Daten zu schützen; (c) vor unbefugtem oder unrechtmäßigem Zugriff, Verwendung, Offenlegung, Änderung oder Vernichtung der persönlichen Daten zu schützen; (d) vor versehentlichem Verlust oder versehentlicher Vernichtung oder Beschädigung persönlicher Daten zu schützen; und (e) persönliche Daten gemäß dem Datenschutzrecht zu schützen.

7. Aufbewahrung

 7.1. Sofern in der Vereinbarung oder in diesem C2C-DPA nicht ausdrücklich anders vereinbart, wird jede Partei die personenbezogenen Daten, die sie von der anderen Partei erhalten hat, nur so lange aufbewahren, wie dies zur Erfüllung ihrer Verpflichtungen aus der Vereinbarung erforderlich ist. In Bezug auf solche personenbezogenen Daten, die nach Beendigung der Vereinbarung aufbewahrt werden, wird diese Partei diese personenbezogenen Daten weiterhin in Übereinstimmung mit den Bedingungen der Vereinbarung und dieser C2C-DPA schützen.

8. Mitteilungen

 8.1. Alle Mitteilungen, Anfragen, Forderungen und Entscheidungen im Rahmen dieser C2C-DPA (außer routinemäßiger betrieblicher Kommunikation) müssen schriftlich erfolgen und an den DSB, sofern ein solcher gemäß Datenschutzrecht benannt wurde, oder an eine andere für den Schutz personenbezogener Daten im Unternehmen zuständige Person an die in der Vereinbarung angegebenen Adressen (einschließlich etwaiger CC-Bezeichnungen) gesendet werden.

 8.2. Eine Partei kann von Zeit zu Zeit ihre Adresse oder ihren Bevollmächtigten für Benachrichtigungen ändern, indem sie die andere Partei vorab schriftlich über die neue Adresse oder den Bevollmächtigten und das Datum, an dem dies wirksam wird, informiert. Eine solche Änderung der Adresse oder des Bevollmächtigten erfolgt in Übereinstimmung mit dieser Klausel.

9. Änderungen des Datenschutzgesetzes

 9.1. Die Parteien vereinbaren, in gutem Glauben zu verhandeln, falls Änderungen an dieser C2C-DPA vorgenommen werden müssen, um dem Datenschutzgesetz zu entsprechen, die rechtliche Umsetzung des Datenschutzgesetzes zu gewährleisten oder Änderungen des Datenschutzgesetzes zu berücksichtigen.

10. Anwendbares Recht

 10.1. Diese C2C-DPA unterliegt französischem Recht.

ANHANG I

A.   LISTE DER PARTEIEN

Datenexporteur

Datenimporteur

B.   BESCHREIBUNG DER ÜBERMITTLUNG

C. ZUSTÄNDIGE AUFSICHTSBEHÖRDE

Commission Nationale de l'Informatique et des Libertés (CNIL) (französische Aufsichtsbehörde)

ANHANG II

TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN, EINSCHLIESSLICH TECHNISCHER UND ORGANISATORISCHER MASSNAHMEN ZUR GEWÄHRLEISTUNG DER DATENSICHERHEIT

Die Parteien verpflichten sich, innerhalb ihres Verantwortungsbereiches und in Bezug auf den Vertragsgegenstand alle erforderlichen und angemessenen technischen und organisatorischen Standardmaßnahmen unter Verwendung allgemein akzeptierter modernster Technologie und in Übereinstimmung mit den Empfehlungen einer Aufsichtsbehörde umzusetzen, z. B. alle nachfolgend aufgeführten Maßnahmen (d. h. die Empfehlungen der französischen Datenschutzbehörde zu Sicherheits- und Vertraulichkeitsstandards). Die vom Hotel festgelegten und umgesetzten Maßnahmen hängen teilweise vom Standort ab und können variieren, ohne dadurch das erforderliche Sicherheitsniveau zu beeinträchtigen. Die Parteien können, zusätzlich zu den unten beschriebenen, weitere Maßnahmen vereinbaren.

Das Hotel kann gemäß seinen Richtlinien und Standards ebenfalls weitere Maßnahmen ergreifen.

Die Einhaltung eines genehmigten Verhaltenskodex (wie in Artikel 40 der DSGVO genannt) oder eines genehmigten Zertifizierungsmechanismus (wie in Artikel 42 der DSGVO genannt) durch das Hotel kann als Nachweis ausreichender Garantien verwendet werden.

Das Hotel wird bestimmte administrative, technische und organisatorische Sicherheitsmaßnahmen ergreifen und aufrechterhalten, die ein Sicherheitsniveau gewährleisten, das den Risiken entspricht, die sich aus der Verarbeitung personenbezogener Daten ergeben. Dabei ist der Stand der Technik, die Kosten der Umsetzung, die Art, der Umfang, der Kontext und die Zwecke dieser Verarbeitung sowie die Wahrscheinlichkeit und Schwere des Risikos in Bezug auf die Rechte und Freiheiten der betroffenen Personen zu berücksichtigen. Das Hotel stellt auf Anfrage der Gruppe eine allgemeine Beschreibung seiner technischen und organisatorischen Sicherheitsmaßnahmen zur Verfügung. Die Übermittlung erfolgt per E-Mail an lawdept@accor.com.

Zum Zweck der Verwaltung von personalisierter kommerzieller Kommunikation verarbeitet das Hotel Ihre personenbezogenen Daten auf Grundlage Ihrer Einwilligung, die Sie jederzeit widerrufen können. Das Hotel personalisiert diese Mitteilungen aufgrund seines berechtigten Interesses, die Dienstleistungen des Hotels gegenüber seinen Kunden zu bewerben. Ihre Daten sind für die Hotelmitarbeiter bestimmt, die für die Verwaltung der kommerziellen Kommunikation zuständig sind, sowie für potenzielle Dienstleister des Hotels. Sie haben das Recht, vom Hotel Auskunft über Ihre Daten, deren Berichtigung oder Löschung zu verlangen oder der Verarbeitung Ihrer Daten zu widersprechen, indem Sie sich schriftlich an das Hotelmanagement wenden, deren Adresse auf der Website all.accor.com sowie in Ihrer Buchungsbestätigung angegeben ist. Sie können sich auch direkt über den in jeder Mitteilung enthaltenen Abmeldelink von den kommerziellen Mitteilungen des Hotels abmelden. Andernfalls bleibt Ihr Abonnement drei Jahre lang ab Ihrer Registrierung oder Ihrer letzten Interaktion per E-Mail aktiv.