Cal.com Auftragsverarbeitungsvertrag

Version 2.3 — Gültigkeitsdatum: 1. November 2026

Dieser Auftragsverarbeitungsvertrag („DPA“) ist Bestandteil des Vertrags, der die Nutzung der Dienste durch den Kunden regelt („Vertrag“), zwischen dem im Vertrag bezeichneten Kunden („Kunde“) und Cal.com, Inc. („Cal.com“). Der Kunde und Cal.com sind jeweils eine „Partei“ und gemeinsam die „Parteien“. Vorbehaltlich §14.2 gilt dieses DPA für jedes Kundenkonto und jeden Plan, die dem Vertrag unterliegen, und wird gemäß §16.4 verbindlich. Die Einbeziehung dieses DPA in einen Rahmenvertrag über Dienste bezieht die Website-Nutzungsbedingungen von Cal.com nicht in diesen Vertrag ein.

1. Geltungsbereich und Rollen

1.1 Dieses DPA gilt, wenn Cal.com personenbezogene Daten im Auftrag des Kunden bei der Bereitstellung der Dienste verarbeitet.

1.2 Für personenbezogene Kundendaten handelt der Kunde je nach Fall als Verantwortlicher oder als Auftragsverarbeiter im Auftrag eines anderen Verantwortlichen, und Cal.com handelt entsprechend als Auftragsverarbeiter oder Unterauftragsverarbeiter des Kunden. Für personenbezogene Daten, die Cal.com für eigene Zwecke verarbeitet, einschließlich Kontoverwaltung, Abrechnung, Marketing, Sicherheit und Compliance, Cal.com handelt als unabhängiger Verantwortlicher, wie in der Datenschutzerklärung von Cal.com beschrieben.

1.3 Dieses DPA regelt nicht die Verarbeitung durch Drittanbieterdienste, die der Kunde auswählt, verbindet oder konfiguriert und die Cal.com nicht als Teil der Dienste betreibt, zum Beispiel den eigenen Kalender, Videokonferenz-, CRM-, Webhook-, SMTP- oder Automatisierungsanbieter des Kunden. Es gilt weiterhin für die Verarbeitung personenbezogener Kundendaten durch Cal.com bei der Bereitstellung von Integrationen mit diesen Diensten. Der Kunde ist verantwortlich für seine Beziehung zu diesen Dritten, seine Anweisungen an sie und deren rechtmäßige Nutzung. Funktionen, die Cal.com als Teil der Dienste bereitstellt, einschließlich Funktionen, die über Unterauftragsverarbeiter wie von Cal.com gehostete Videodienste und transaktionale E-Mails bereitgestellt werden, bleiben von diesem DPA erfasst.

1.4 Der Kunde darf über die Dienste keine geschützten Gesundheitsinformationen einreichen, hochladen oder anderweitig verfügbar machen, es sei denn, ein Business Associate Agreement („BAA“) für die betreffenden Dienste wurde zwischen dem Kunden und Cal.com. Der Kunde ist verantwortlich für alle geschützten Gesundheitsinformationen, die unter Verstoß gegen diesen Abschnitt übermittelt werden. Der Kunde darf personenbezogene Daten, die Artikel 9 GDPR oder einem gleichwertigen erhöhten Schutz nach anwendbarem Datenschutzrecht unterliegen, über die nach dem Vertrag bereitgestellte Funktionalität verarbeiten, sofern der Kunde dafür verantwortlich ist festzustellen, dass er eine Rechtsgrundlage und jede erforderliche Bedingung hierfür hat, und die Dienste für diese Daten entsprechend zu konfigurieren.

1.5 Sofern der Kunde ein BAA abgeschlossen hat, regelt das BAA jeden Konflikt zwischen diesem DPA und dem BAA in Bezug auf Nutzung, Offenlegung, Datenschutz oder Sicherheit geschützter Gesundheitsinformationen (wie im BAA definiert). Dieses DPA regelt weiterhin alle anderen personenbezogenen Kundendaten und schließt jede Lücke, die das BAA nicht abdeckt.

2. Definitionen und Auslegung

„Anwendbares Datenschutzrecht“ bezeichnet Datenschutzgesetze, die für die Verarbeitung personenbezogener Kundendaten gelten, einschließlich, soweit anwendbar, GDPR, UK GDPR, Schweizer Bundesgesetz über den Datenschutz, Datenschutzgesetze der US-Bundesstaaten sowie umsetzende oder ergänzende Gesetze.

„Personenbezogene Kundendaten“ bezeichnet personenbezogene Daten, die Cal.com im Auftrag des Kunden im Zusammenhang mit den Diensten verarbeitet.

„EWR“ bezeichnet den Europäischen Wirtschaftsraum.

„Unterzeichnetes DPA“ bezeichnet einen Datenverarbeitungsvertrag, der nicht dieses DPA ist und den der Kunde und Cal.com beide unterzeichnet haben.

„GDPR“ bezeichnet die Verordnung (EU) 2016/679.

„Verletzung des Schutzes personenbezogener Daten“ hat die in der GDPR angegebene Bedeutung.

„SCCs“ bezeichnet die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer, die mit dem Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission vom 4. Juni 2021 angenommen wurden.

„Schweizer Ergänzungen“ bezeichnet die Änderungen an den SCCs, die der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte für Übermittlungen verlangt, die dem Schweizer Bundesgesetz über den Datenschutz unterliegen.

„UK Addendum“ bezeichnet das vom UK Information Commissioner gemäß Abschnitt 119A des Data Protection Act 2018 herausgegebene International Data Transfer Addendum zu den Standardvertragsklauseln der EU-Kommission.

„Dienste“ bezeichnet die von Cal.com bereitgestellten gehosteten Dienste für Terminplanung, Buchung, Video, Kommunikation, Integration und damit verbundene Zwecke, die gemäß dem Vertrag erbracht werden.

„Unterauftragsverarbeiter“ bezeichnet einen Dritten, der von Cal.com beauftragt wurde, personenbezogene Kundendaten im Auftrag von Cal.com im Zusammenhang mit den Diensten zu verarbeiten. Anbieter, die personenbezogene Daten ausschließlich für die eigenen Zwecke von Cal.com als unabhängigem Verantwortlichen verarbeiten, einschließlich Analyse- und Werbetools auf der Marketing-Website von Cal.com sind keine Unterauftragsverarbeiter.

„Liste der Unterauftragsverarbeiter“ bezeichnet die aktuelle Liste der Unterauftragsverarbeiter von Cal.com, verfügbar unter trust.cal.com.

„Datenschutzgesetze der US-Bundesstaaten“ bezeichnet den California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung sowie andere allgemein geltende Gesetze von US-Bundesstaaten, die die Verarbeitung personenbezogener Informationen regeln, zusammen mit ihren Durchführungsverordnungen, jeweils soweit anwendbar.

„BAA“ bezeichnet ein Business Associate Agreement, sofern es zwischen dem Kunden und Cal.com abgeschlossen wurde, das die Nutzung und Offenlegung geschützter Gesundheitsinformationen unter HIPAA regelt. Wenn kein BAA in Kraft ist, gelten Verweise auf ein BAA in diesem DPA nicht.

„Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „personenbezogene Daten“, „Verarbeitung“ und verwandte Begriffe haben die im anwendbaren Datenschutzrecht angegebene Bedeutung. Nach den Datenschutzgesetzen der US-Bundesstaaten umfasst „Verantwortlicher“ auch „business“, „Auftragsverarbeiter“ auch „service provider“ und „contractor“, und „personenbezogene Daten“ umfasst „personal information“.

3. Verarbeitungsanweisungen

3.1 Cal.com wird personenbezogene Kundendaten nur verarbeiten: (a) um die Dienste gemäß dem Vertrag, diesem DPA, der dokumentierten Konfiguration und Nutzung der Dienste durch den Kunden sowie anwendbarem Recht bereitzustellen, zu sichern, zu unterstützen, zu warten und zu verbessern; (b) gemäß weiteren dokumentierten Anweisungen des Kunden, die mit dem Vertrag und diesem DPA vereinbar sind; oder © soweit dies nach anwendbarem Recht erforderlich ist; in diesem Fall wird Cal.com den Kunden vor der Verarbeitung über diese gesetzliche Verpflichtung informieren, sofern anwendbares Recht diese Mitteilung nicht untersagt.

3.2 Der Kunde ist dafür verantwortlich sicherzustellen, dass seine Anweisungen und seine Erhebung, Nutzung, Offenlegung und sonstige Verarbeitung personenbezogener Kundendaten über die Dienste dem anwendbaren Datenschutzrecht entsprechen.

3.3 Gegenstand, Dauer, Art, Zwecke, Kategorien betroffener Personen, Kategorien personenbezogener Daten und Verarbeitungsvorgänge sind in Anhang 1 festgelegt.

3.4 Wenn Cal.com der Ansicht ist, dass eine Anweisung von Customer gegen geltendes Datenschutzrecht verstößt, Cal.com wird Customer unverzüglich über diese Auffassung informieren, und Cal.com kann die Ausführung der betroffenen Anweisung aussetzen, bis Customer sie bestätigt, ändert oder zurückzieht.

4. Vertraulichkeit und Personal

4.1 Cal.com stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten von Customer befugt sind, angemessenen Vertraulichkeitsverpflichtungen unterliegen oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterstehen.

4.2 Cal.com beschränkt den Zugriff auf personenbezogene Daten von Customer auf Personal und Subprozessoren, die den Zugriff benötigen, um die Services bereitzustellen, abzusichern, zu unterstützen oder zu warten.

5. Sicherheit

5.1 Unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für betroffene Personen wird Cal.com angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten von Customer umsetzen und aufrechterhalten, wie es Artikel 32 GDPR verlangt.

5.2 Cal.coms Sicherheitsmaßnahmen umfassen, soweit angemessen: Zugriffskontrolle und Least-Privilege-Praktiken; Verschlüsselung bei der Übertragung und im Ruhezustand, soweit angemessen; Authentifizierungskontrollen, einschließlich SSO und Multi-Faktor-Authentifizierung für relevante Systeme; sichere Entwicklung, Schwachstellenmanagement, Protokollierung, Monitoring, Incident Response, Backup- und Resilienzpraktiken; sowie regelmäßige Sicherheitstests und unabhängige Prüfungsaktivitäten, die für die Services angemessen sind.

5.3 Cal.com kann seine Sicherheitsmaßnahmen von Zeit zu Zeit aktualisieren oder ändern, sofern die Änderungen die Gesamtsicherheit der Services nicht wesentlich verringern.

6. Subprozessoren

6.1 Allgemeine Genehmigung. Customer erteilt Cal.com eine allgemeine schriftliche Genehmigung, Subprozessoren mit der Verarbeitung personenbezogener Daten von Customer für die Bereitstellung, den Betrieb, die Sicherheit, den Support, die Wartung und die Verbesserung der Services zu beauftragen. Wenn Customer als Auftragsverarbeiter handelt, muss jede erforderliche Genehmigung des Verantwortlichen gemäß den anwendbaren SCCs eingeholt und mitgeteilt werden; die Genehmigung von Customer ersetzt sie nicht.

6.2 Aktuelle Subprozessoren. Customer genehmigt Cal.coms Nutzung der Subprozessoren, die zum Wirksamkeitsdatum dieser DPA in der Subprozessorenliste aufgeführt sind.

6.3 Änderungen bei Subprozessoren. Bevor ein neuer oder ersetzender Subprozessor mit der Verarbeitung personenbezogener Daten von Customer beginnt, wird Cal.com Customer vorab schriftlich informieren und wirtschaftlich angemessene Anstrengungen unternehmen, diese Mitteilung so früh zu machen, dass Customer die Änderung prüfen und gemäß §6.4 widersprechen kann. Die Mitteilung kann per E-Mail an den Account-Administrator oder den Datenschutz-/Rechtskontakt von Customer, durch eine produktinterne Benachrichtigung oder über eine andere dokumentierte elektronische Methode erfolgen. Die bloße Aktualisierung der Subprozessorenliste wird nicht Cal.coms einzige Mitteilungsmethode sein.

6.4 Widersprüche. Customer kann innerhalb einer angemessenen Frist nach Erhalt der Mitteilung und, soweit praktikabel, bevor der neue Subprozessor mit der Verarbeitung beginnt, aus angemessenen und begründeten datenschutzbezogenen Gründen schriftlich widersprechen. Die Parteien werden nach Treu und Glauben zusammenarbeiten, um einen berechtigten Widerspruch zu klären. Wenn keine angemessene Lösung verfügbar ist und Customer den betroffenen Service ohne den vorgeschlagenen Subprozessor nicht zumutbar weiter nutzen kann, kann Customer den betroffenen Service einstellen oder den betroffenen Teil der Vereinbarung kündigen. Cal.com erstattet alle im Voraus bezahlten, nicht genutzten Gebühren für den gekündigten betroffenen Service.

6.5 Pflichten von Subprozessoren. Bevor ein Subprozessor personenbezogene Daten von Customer verarbeitet, wird Cal.com eine schriftliche Vereinbarung abschließen, die den Subprozessor verpflichtet, personenbezogene Daten von Customer mit Verpflichtungen zu schützen, die nicht weniger schützend sind als die für Cal.com gemäß dieser DPA geltenden Verpflichtungen, wie es das geltende Datenschutzrecht verlangt.

6.6 Verantwortung. Cal.com bleibt im durch das geltende Datenschutzrecht erforderlichen Umfang für die Erfüllung der Datenschutzpflichten seiner Subprozessoren verantwortlich.

6.7 Nachgelagerte Subprozessoren. Cal.coms Subprozessoren dürfen eigene Subprozessoren einsetzen, soweit dies nach ihrer Vereinbarung mit Cal.com und dem geltenden Datenschutzrecht zulässig ist. Cal.com wahrt die vertragliche Verantwortlichkeit über seinen direkten Subprozessor und muss nicht jeden nachgelagerten Subprozessor als direkten Cal.com-Subprozessor aufführen. Soweit nach geltendem Datenschutzrecht erforderlich, wird Cal.com Customer proaktiv aktuelle Informationen zur Verfügung stellen, mit denen die Subprozessoren und nachgelagerten Subprozessoren identifiziert werden, die personenbezogene Daten von Customer verarbeiten, einschließlich ihrer Namen, Anschriften, Kontaktpersonen und Kontaktdaten sowie der ihnen übertragenen Verarbeitung. Diese Informationen können über zugängliche Anbieterlisten oder andere dokumentierte Ressourcen bereitgestellt werden und werden aktuell gehalten.

6.8 PHI-fähige Subprozessoren. Wenn Customer ein BAA abgeschlossen hat, wird Cal.com einem Subprozessor nicht gestatten, Protected Health Information zu erstellen, zu empfangen, zu speichern oder zu übermitteln, es sei denn, dieser Subprozessor ist an eine schriftliche Vereinbarung gebunden, die mit dem BAA vereinbare Schutzmaßnahmen enthält, einschließlich einer Einschränkung, Protected Health Information zum Trainieren, Feinabstimmen oder Verbessern eines künstlichen Intelligenz- oder Machine-Learning-Modells zu verwenden.

7. Unterstützung bei Anfragen betroffener Personen

7.1 Unter Berücksichtigung der Art der Verarbeitung wird Cal.com Customer durch geeignete technische und organisatorische Maßnahmen angemessen unterstützen, damit Customer auf Anfragen betroffener Personen reagieren kann.

7.2 Wenn Cal.com eine Anfrage einer betroffenen Person in Bezug auf personenbezogene Daten von Customer erhält, wird Cal.com Customer, sofern nicht gesetzlich verboten, unverzüglich benachrichtigen und auf die Anfrage nur gemäß den dokumentierten Anweisungen von Customer oder soweit nach anwendbarem Recht erforderlich antworten.

7.3 Customer bleibt dafür verantwortlich, Anfragen betroffener Personen entsprechend seiner Rolle als Verantwortlicher oder Auftragsverarbeiter und seinen Pflichten nach geltendem Datenschutzrecht zu bearbeiten. Cal.coms Unterstützung richtet sich nach dieser DPA und den anwendbaren SCCs.

8. Verletzungen des Schutzes personenbezogener Daten

8.1 Cal.com wird Customer unverzüglich benachrichtigen, nachdem es von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die personenbezogene Daten von Customer betrifft.

8.2 Cal.com stellt ihm in zumutbarer Weise verfügbare Informationen bereit, um den Kunden bei der Erfüllung seiner Benachrichtigungs- und sonstigen gesetzlichen Pflichten zu unterstützen, einschließlich, soweit verfügbar: Art der Verletzung; Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze; wahrscheinliche Folgen; ergriffene oder vorgeschlagene Maßnahmen zur Minderung der Verletzung; sowie eine Kontaktstelle für weitere Informationen.

8.3 Informationen können phasenweise bereitgestellt werden, sobald sie verfügbar sind. Cal.com arbeitet in zumutbarem Umfang mit dem Kunden bei der Untersuchung, Minderung und Behebung der Verletzung des Schutzes personenbezogener Daten zusammen.

8.4 Cal.coms Mitteilung über eine Verletzung des Schutzes personenbezogener Daten oder Reaktion darauf ist kein Eingeständnis von Cal.com in Bezug auf ein Verschulden oder eine Haftung.

9. DSFA und Konsultation der Aufsichtsbehörde

Unter Berücksichtigung der Art der Verarbeitung und der Informationen, die Cal.com zur Verfügung stehen, wird Cal.com dem Kunden angemessene Unterstützung bei Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden leisten, die nach den Artikeln 35 und 36 GDPR oder gleichwertigem Anwendbarem Datenschutzrecht erforderlich sind, ausschließlich soweit die Anfrage Cal.coms Verarbeitung personenbezogener Kundendaten betrifft.

10. Rückgabe und Löschung

10.1 Während der Laufzeit kann der Kunde über die Dienste auf personenbezogene Kundendaten zugreifen und sie exportieren, soweit die entsprechende Funktionalität verfügbar ist. Am Ende der Verarbeitungsdienste kann der Kunde die Rückgabe personenbezogener Kundendaten mit anschließender Löschung bestehender Kopien oder die Löschung wählen, wie es nach Anwendbarem Datenschutzrecht und den anwendbaren SCCs erforderlich ist.

10.2 Nach Beendigung oder Ablauf der Dienste hat der Kunde mindestens 30 Tage Zeit, personenbezogene Kundendaten zu exportieren, sofern der Kunde keine frühere Löschung anweist oder der Vertrag oder die Konfiguration des Kunden einen längeren Zeitraum vorsieht.

10.3 Nach Ablauf des anwendbaren Exportzeitraums wird Cal.com personenbezogene Kundendaten gemäß seinem standardmäßigen Löschplan löschen, in der Regel innerhalb von 90 Tagen, sofern keine Aufbewahrung nach geltendem Recht erforderlich ist. Auf schriftliche Anfrage des Kunden bestätigt Cal.com schriftlich, wenn die Löschung nach diesem Abschnitt abgeschlossen ist, soweit Anwendbares Datenschutzrecht dies verlangt oder eine solche Bestätigung in zumutbarer Weise verfügbar ist.

10.4 Personenbezogene Kundendaten, die nach Beendigung in Backups verbleiben, bleiben geschützt und werden bis zur Löschung gemäß dem anwendbaren Backup-Aufbewahrungsplan der gewöhnlichen Nutzung entzogen. Jede Aufbewahrung, Wiederherstellung oder sonstige Verarbeitung muss nach Anwendbarem Datenschutzrecht und den anwendbaren SCCs zulässig sein.

10.5 Dieser Abschnitt verpflichtet Cal.com nicht dazu, Daten zu löschen, die es als unabhängiger Verantwortlicher verarbeitet, wenn Cal.com eine gesonderte Rechtsgrundlage und einen gesonderten Zweck hat, etwa Abrechnung, Steuern, Betrugsprävention, Sicherheit oder Aufzeichnungen zur Einhaltung gesetzlicher Vorschriften.

10.6 Wenn ein BAA gilt, richten sich Rückgabe oder Vernichtung geschützter Gesundheitsinformationen, einschließlich Kopien in Backups, nach diesem BAA und geltendem Recht. Jede fortgesetzte Aufbewahrung aufgrund von Undurchführbarkeit muss diese Anforderungen erfüllen, und die Schutzmaßnahmen des BAA gelten für aufbewahrte geschützte Gesundheitsinformationen fort.

11. Prüfungen und Compliance-Informationen

11.1 Cal.com stellt Informationen zur Verfügung, die in zumutbarem Umfang erforderlich sind, um die Einhaltung dieser DPA nachzuweisen.

11.2 Bevor der Kunde eine Prüfung anfordert, wird er Cal.coms aktuelle Compliance-Dokumentation nutzen, einschließlich relevanter Sicherheitsberichte, Zertifizierungen, Prüfungszusammenfassungen, Fragebögen und schriftlicher Antworten, soweit diese Materialien die Einhaltung in zumutbarem Umfang nachweisen.

11.3 Wenn diese Materialien in zumutbarem Umfang nicht ausreichen, kann der Kunde eine Prüfung von Cal.coms relevanten Verarbeitungstätigkeiten höchstens einmal alle 12 Monate durchführen, vorbehaltlich: einer vorherigen schriftlichen Ankündigung von mindestens 30 Tagen; eines Umfangs, der in zumutbarer Weise mit personenbezogenen Kundendaten und dieser DPA zusammenhängt; der Durchführung während der normalen Geschäftszeiten; angemessener Maßnahmen zur Vermeidung von Störungen des Cal.coms Betriebs; eines unabhängigen, qualifizierten Prüfers, der Geheimhaltungspflichten unterliegt und kein Wettbewerber von Cal.com ist; und der Tragung der eigenen Kosten durch den Kunden, sofern nicht eine wesentliche Nichteinhaltung durch Cal.com festgestellt wird.

11.4 Cal.com kann einem Prüfer oder Prüfungsplan aus angemessenen Sicherheits-, Vertraulichkeits- oder betrieblichen Gründen widersprechen und wird nach Treu und Glauben daran mitwirken, eine geeignete Alternative zu vereinbaren. Die Verfahren und Einschränkungen in diesem Abschnitt gelten nur, soweit sie mit Anwendbarem Datenschutzrecht und den anwendbaren SCCs vereinbar sind. Sie beschränken keine Prüfung oder Inspektion, die von einer zuständigen Aufsichtsbehörde verlangt wird oder sonst nach diesen Bestimmungen erforderlich ist.

12. Internationale Übermittlungen

12.1 Cal.com darf personenbezogene Kundendaten nur dann außerhalb des EWR, des Vereinigten Königreichs oder der Schweiz übermitteln, wenn ein rechtmäßiger Übermittlungsmechanismus nach Anwendbarem Datenschutzrecht besteht.

12.2 Geeignete Mechanismen umfassen: einen Angemessenheitsbeschluss; die SCCs, zusammen mit dem UK Addendum und den Schweizer Anpassungen, soweit anwendbar, wie in §12.4 dargelegt; sofern und solange Cal.com nach dem EU-U.S. Data Privacy Framework oder der UK Extension zu diesem Framework zertifiziert ist, dieses Framework; oder einen anderen gültigen Übermittlungsmechanismus, der durch Anwendbares Datenschutzrecht anerkannt ist.

12.3 Soweit erforderlich, Cal.com wird ergänzende Maßnahmen umsetzen und relevante Übermittlungsinformationen über die Liste der Unterauftragsverarbeiter oder auf zumutbare Anfrage bereitstellen.

12.4 Standardvertragsklauseln. Die SCCs gelten für Übermittlungen personenbezogener Kundendaten, die in ihren zulässigen Anwendungsbereich fallen und diese Schutzmaßnahmen erfordern, weil kein anderer gültiger Übermittlungsmechanismus nach §12.2 die Übermittlung abdeckt. Sie werden in diese DPA einbezogen und durch die Cal.com-Anlage zu den Standardvertragsklauseln unter cal.com/dpa-scc (die „SCC-Anlage“) vervollständigt. Die Parteien schließen sie durch wirksame Unterzeichnung ab, wie in der SCC-Anlage festgelegt. Eine Änderung des Übermittlungsmechanismus lässt bestehende Verpflichtungen aus den SCCs nicht automatisch erlöschen; eine Kündigung oder ein Widerruf muss den anwendbaren Übermittlungsinstrumenten entsprechen, und entstandene Rechte bleiben unberührt. Es gelten die folgenden Festlegungen:

(a) Modul Zwei (Verantwortlicher an Auftragsverarbeiter) gilt, wenn der Kunde Verantwortlicher für die personenbezogenen Kundendaten ist, und Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter) gilt, wenn der Kunde selbst als Auftragsverarbeiter im Auftrag eines dritten Verantwortlichen handelt. Der Kunde ist der „Datenexporteur“ und Cal.com ist der „Datenimporteur“. Handelt der Kunde als Auftragsverarbeiter, sichert der Kunde zu, dass er über die Befugnis und die Anweisungen jedes relevanten Verantwortlichen verfügt, die erforderlich sind, um Cal.com nach Modul Drei zu beauftragen und diese Anweisungen an Cal.com weiterzugeben, und der Kunde wird Cal.com von Ansprüchen dieser Verantwortlichen freistellen, die aus der fehlenden Befugnis des Kunden oder aus Anweisungen entstehen, die Cal.com über den Kunden erhält. Diese Freistellung beschränkt nicht Cal.coms Pflichten oder Haftung nach den SCCs.

(b) Klausel 7 (Beitrittsklausel) gilt.

© In Klausel 9(a) gilt Option 2 (allgemeine schriftliche Genehmigung). Die Vorankündigungsfrist ist der in §6.3 und im SCC Schedule angegebene Zeitraum. Mitteilung und Genehmigung müssen dem anwendbaren Modul entsprechen.

(d) In Klausel 11(a) gilt die optionale Formulierung zur unabhängigen Streitbeilegung nicht.

(e) In Klausel 13 und Anhang I.C wird die zuständige Aufsichtsbehörde gemäß Klausel 13(a) bestimmt und in den kundenspezifischen Informationen angegeben, die in Anhang I.C des SCC Schedule aufgenommen sind.

(f) In Klausel 17 gilt Option 1 und die SCCs unterliegen dem Recht Irlands. In Klausel 18(b) werden Streitigkeiten vor den Gerichten Irlands beigelegt.

(g) Die Angaben der Parteien und die Ausführungsnachweise sind in Anhang I.A des SCC Schedule angegeben; die Übermittlungen sind in Anhang I.B beschrieben; die Sicherheitsmaßnahmen sind in Anhang II festgelegt; und Informationen zu Subprozessoren sowie Genehmigungen werden in Anhang III und Klausel 9 dieses Schedule behandelt.

(h) Für Übermittlungen, die dem UK GDPR unterliegen und diese Absicherung erfordern, gilt das UK Addendum und ändert die SCCs wie darin festgelegt. Die Tabellen 1 bis 3 werden mit den Informationen in Teil 6 des SCC Schedule ausgefüllt. In Tabelle 4 darf nur Cal.com, als Importeur, das UK Addendum gemäß Abschnitt 19 dieses Addendum beenden.

(i) Für Übermittlungen, die dem Schweizer Bundesgesetz über den Datenschutz unterliegen, gelten die Swiss Amendments in Teil 7 des SCC Schedule. Unterliegt eine Übermittlung sowohl der GDPR als auch diesem Gesetz, gelten die SCCs parallel unter beiden Regelungen.

(j) Wenn die SCCs geändert, ersetzt oder für ungültig erklärt werden, arbeiten die Parteien nach Treu und Glauben zusammen, um den Nachfolger oder einen alternativen gültigen Mechanismus einzuführen. Bei einem Konflikt zwischen den SCCs und diesem DPA oder der Vereinbarung gehen die SCCs vor.

13. Behörden- und Strafverfolgungsanfragen

13.1 Für personenbezogene Kundendaten, die gemäß den SCCs übermittelt werden, wird Cal.com die Klauseln 15.1 und 15.2 der SCCs einhalten. Nichts in diesem Abschnitt beschränkt Pflichten nach anwendbarem Datenschutzrecht oder den anwendbaren SCCs, dem UK Addendum oder den Swiss Amendments.

14. Rangfolge

14.1 Bei einem Konflikt zwischen diesem DPA und der Vereinbarung in Bezug auf die Verarbeitung personenbezogener Kundendaten ist dieses DPA im Umfang dieses Konflikts maßgeblich. Ein unterzeichnetes Order Form ändert eine Bestimmung dieses DPA nur, wenn es diese Bestimmung ausdrücklich nennt.

14.2 Wenn der Kunde und Cal.com ein wirksames Executed DPA haben, das eine bestimmte Verarbeitung personenbezogener Kundendaten abdeckt, gilt dieses Executed DPA anstelle dieses DPA für diese Verarbeitung, solange es wirksam bleibt.

15. Haftung

Die Haftung jeder Partei, die sich aus diesem DPA ergibt oder damit zusammenhängt, unterliegt den Haftungsausschlüssen und -beschränkungen in der Vereinbarung, außer soweit diese Bestimmungen den Haftungsbestimmungen der anwendbaren SCCs, des UK Addendum oder der Swiss Amendments widersprechen oder sie untergraben würden oder anderweitig gegen geltendes Recht verstoßen. Diese Ausnahme gilt für die Haftung zwischen den Parteien sowie für die Haftung gegenüber betroffenen Personen. Dieses DPA begründet keine zusätzliche vertragliche Entschädigung für Datenverlust durch Cal.com und keine Garantie für Backup oder Wiederherstellung über die ausdrücklich in §5 und Anhang II des SCC Schedule beschriebenen Maßnahmen hinaus. Dies beschränkt nicht diese ausdrücklichen Pflichten, zwingende Haftung oder zusätzlichen Schutz vor Datenverlust, der ausdrücklich in einem Executed DPA oder einem unterzeichneten Order Form vereinbart wurde.

16. Allgemeines

16.1 Mitteilungen. Mitteilungen im Rahmen dieses DPA müssen schriftlich erfolgen und können per E-Mail an den Rechts-, Datenschutz- oder Kontoverwaltungskontakt der jeweiligen Partei gesendet werden. Vertragliche Mitteilungen an Cal.com können gesendet werden an [email protected] oder zugestellt werden an Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, United States, Attn: Legal. Datenschutzanfragen können gesendet werden an [email protected].

16.2 Änderungen. Cal.com kann dieses DPA aktualisieren, wenn dies gesetzlich erforderlich ist, um Änderungen an den Services abzubilden oder betriebliche Anforderungen zu erfüllen. Jede Version enthält eine Versionsnummer und ein Datum des Inkrafttretens, und frühere Versionen bleiben in der untenstehenden Versionshistorie verfügbar. Aktualisierungen müssen gemäß der Vereinbarung und geltendem Recht vorgenommen werden. Cal.com wird über die in §6.3 beschriebenen Kanäle mit angemessener schriftlicher Vorankündigung über jede Aktualisierung informieren, die die Rechte des Kunden oder Cal.coms Pflichten wesentlich verringert. Eine solche Aktualisierung wird erst nach Ablauf der anwendbaren Mitteilungsfrist und nach jeder erforderlichen Annahme wirksam. Der Kunde kann die betroffenen Services vor dem Datum des Inkrafttretens durch schriftliche Mitteilung kündigen, wenn er eine solche wesentlich nachteilige Aktualisierung nicht akzeptiert. Jede Erstattung ist auf die Beträge beschränkt, die nach geltendem Recht oder der Vereinbarung erforderlich sind. Andere Aktualisierungen werden mit Veröffentlichung nur insoweit wirksam, wie dies durch die Vereinbarung und geltendes Recht erlaubt ist. Dieser Abschnitt ändert kein Executed DPA; Änderungen dieses Dokuments richten sich nach dessen eigenen Bedingungen.

16.3 Anwendbares Recht und Gerichtsstand. Die Bestimmungen der Vereinbarung zu anwendbarem Recht und Gerichtsstand gelten für dieses DPA. Dies berührt nicht das anwendbare Recht und den Gerichtsstand der anwendbaren SCCs, des UK Addendum oder der Swiss Amendments, wie im SCC Schedule angegeben, oder Rechte und Pflichten, die vertraglich nicht rechtmäßig geändert werden können.

16.4 Annahme. Dieses DPA wird verbindlich, wenn es wirksam in eine für beide Parteien bindende Vereinbarung aufgenommen wird. Eine elektronische Annahme kann verwendet werden, soweit dies nach geltendem Recht zulässig ist. Änderungen an einer bestehenden Vertragsbeziehung richten sich nach §16.2 und der Vereinbarung. Die Ausführung der SCCs und des UK Addendum richtet sich nach dem SCC Schedule. Auf Anfrage kann Cal.com nach eigenem Ermessen eine von Cal.com gegengezeichnete Kopie dieses DPA für die Unterlagen des Kunden bereitstellen. Eine gegengezeichnete Ausfertigung enthält dieselben Bedingungen und hat dieselbe Wirkung wie die zwischen den Parteien verbindliche Version und ist kein Executed DPA im Sinne von §14.2. Dies beschränkt weder eine erforderliche Ausführung noch das Recht, eine Kopie des verbindlichen DPA oder der anwendbaren SCCs zu erhalten.

16.5 Ausgehandelte Bedingungen. Kunden, die über ein Order Form oder einen Rahmenvertrag mit Cal.com kaufen, können ein Executed DPA anfordern. Cal.com verhandelt oder ändert dieses DPA ansonsten nicht.

Anhang 1: Details der Verarbeitung

Anhang 2: Subprozessoren

Cal.coms aktuelle Liste der direkten Subprozessoren ist verfügbar unter trust.cal.com. Anbieter, die personenbezogene Daten nur für Cal.coms eigene Zwecke als unabhängiger Controller verarbeiten, sind für die Zwecke dieses DPA keine Subprozessoren.

Anhang 3: Datenschutzgesetze der US-Bundesstaaten

Dieser Anhang gilt, soweit US-Datenschutzgesetze der Bundesstaaten auf personenbezogene Kundendaten Anwendung finden. Begriffe haben die Bedeutungen, die ihnen in diesen Gesetzen zugewiesen werden.

1. Cal.com handelt gegenüber dem Kunden in Bezug auf personenbezogene Kundendaten als Dienstleister oder Auftragsverarbeiter. Der Kunde legt diese Daten gegenüber Cal.com ausschließlich für die begrenzten und festgelegten Geschäftszwecke der Bereitstellung von Terminplanung, Buchung, Kontoverwaltung, Kommunikation, Video, Integrationen, Kundensupport, Wartung und Sicherheit für die vom Kunden genutzten Dienste offen, wie in Anhang 1 näher beschrieben.
2. Cal.com wird Folgendes nicht tun: (a) personenbezogene Kundendaten verkaufen oder weitergeben; (b) personenbezogene Kundendaten für andere Zwecke, einschließlich kommerzieller Zwecke, speichern, verwenden oder offenlegen als die im Vertrag und in diesem DPA festgelegten Geschäftszwecke oder wie anderweitig nach den US-Datenschutzgesetzen der Bundesstaaten zulässig; © personenbezogene Kundendaten außerhalb der direkten Geschäftsbeziehung zwischen dem Kunden und Cal.com, außer soweit nach den US-Datenschutzgesetzen der Bundesstaaten zulässig; oder (d) personenbezogene Kundendaten mit personenbezogenen Informationen zusammenführen, die Cal.com von einer anderen Person oder in deren Auftrag erhält oder aus eigenen Interaktionen mit Verbrauchern erhebt, außer soweit nach den US-Datenschutzgesetzen der Bundesstaaten zulässig.
3. Cal.com wird die anwendbaren Pflichten nach den US-Datenschutzgesetzen der Bundesstaaten einhalten und dasselbe Datenschutzniveau bieten, das diese Gesetze vom Kunden verlangen. Cal.com wird den Kunden benachrichtigen, wenn es feststellt, dass es seine Pflichten nach den US-Datenschutzgesetzen der Bundesstaaten nicht mehr erfüllen kann. Der Kunde darf angemessene und geeignete Maßnahmen ergreifen, um sicherzustellen, dass Cal.com personenbezogene Kundendaten im Einklang mit den Pflichten des Kunden nach den anwendbaren US-Datenschutzgesetzen der Bundesstaaten verwendet und nach entsprechender Mitteilung eine unbefugte Nutzung einstellt und behebt. Diese Rechte werden gemäß §11 ausgeübt, soweit dessen Verfahren und Beschränkungen mit den anwendbaren US-Datenschutzgesetzen der Bundesstaaten vereinbar sind.
4. Cal.com wird die Pflichten aus diesem Anhang gemäß §6.5 an seine Unterauftragsverarbeiter weitergeben und den Kunden gemäß §7 bei der Beantwortung von Verbraucheranfragen unterstützen.
5. Soweit nach den anwendbaren US-Datenschutzgesetzen der Bundesstaaten erforderlich, Cal.com bestätigt, dass es die Beschränkungen in diesem Anhang versteht und einhalten wird.