Cal.com-Anlage zu den Standardvertragsklauseln

Anlage zum Cal.com-Auftragsverarbeitungsvertrag v2.3 — Version 1.0 — Gültigkeitsdatum: 1. November 2026

Teil 1. Anwendung der Klauseln

1.1 Diese Anlage ergänzt die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer, die mit dem Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission vom 4. Juni 2021 angenommen wurden (die „SCCs“), das UK International Data Transfer Addendum zu den Standardvertragsklauseln der EU-Kommission, Version B1.0, in Kraft seit dem 21. März 2022 (das „UK Addendum“), sowie die vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten geforderten Änderungen für Übermittlungen, die dem Schweizerischen Bundesgesetz über den Datenschutz unterliegen (die „Schweizer Änderungen“), jeweils wie durch §12.4 des Cal.com-Auftragsverarbeitungsvertrags (der „DPA“) einbezogen.

1.2 Der Text der SCCs wird durch Verweis genau in der im Amtsblatt der Europäischen Union (ABl. L 199, 7.6.2021, S. 31) veröffentlichten Fassung einbezogen, abrufbar unter https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Teil 2: Verbindliche Klauseln des genehmigten Addendums, nämlich das Muster-Addendum B.1.0, das vom ICO herausgegeben und gemäß s119A des Data Protection Act 2018 am 2. Februar 2022 dem Parlament vorgelegt wurde, in der jeweils nach Abschnitt 18 dieser verbindlichen Klauseln überarbeiteten Fassung. Keiner der beiden Texte wird geändert, außer durch die Optionen, Festlegungen und Anhänge, die die SCCs und das UK Addendum selbst zulassen, wie in dieser Anlage festgelegt.

1.3 Die SCCs gelten für die in Anhang I.B beschriebenen Übermittlungen, die in ihren zulässigen Anwendungsbereich fallen und diese Schutzmaßnahmen erfordern, weil kein anderer gültiger Übermittlungsmechanismus nach DPA §12.2 die Übermittlung abdeckt. Auf einen gültigen und anwendbaren Angemessenheitsbeschluss, einschließlich eines solchen, der die Cal.com-Teilnahme am relevanten Data Privacy Framework erfasst, kann für Übermittlungen innerhalb seines Anwendungsbereichs gestützt werden. Bestehende SCC-Verpflichtungen erlöschen nicht automatisch; Beendigung oder Widerruf müssen den anwendbaren SCCs und dem UK Addendum entsprechen. Entstandene Rechte bleiben unberührt.

1.4 Die Parteien schließen die SCCs durch wirksame Ausfertigung des ausgefüllten Anhangs I.A ab, einschließlich einer rechtsgültigen elektronischen Signatur, die in den Vertrag oder die DPA einbezogen ist. Der Ausfertigungsnachweis muss die Parteien, die anwendbare Version der Anlage und das Gültigkeitsdatum ausweisen. Auf Anfrage stellt Cal.com eine Kopie der zwischen den Parteien verbindlichen Version bereit.

1.5 In der DPA definierte Begriffe haben hier dieselbe Bedeutung. „Kunde“ ist der Datenexporteur und „Cal.com“ ist der Datenimporteur. Bei Widersprüchen zwischen dieser Anlage und den SCCs haben die SCCs Vorrang (DPA §12.4(j)); bei Widersprüchen zwischen dieser Anlage und der DPA zu einem Punkt, den die SCCs den Parteien überlassen, hat diese Anlage Vorrang.

Teil 2. Module, Optionen und Festlegungen

Teil 3. Anhang I

A. Liste der Parteien

Datenexporteur

Datenimporteur

B. Beschreibung der Übermittlung

C. Zuständige Aufsichtsbehörde

Die spezifische zuständige Aufsichtsbehörde, die gemäß Klausel 13(a) bestimmt wird, ist in den kundenspezifischen Informationen angegeben, die in diesen Anhang aufgenommen sind.

Teil 4. Anhang II — Technische und organisatorische Maßnahmen

Dieser Anhang beschreibt die Maßnahmen Cal.com gemäß DPA §5 und Klausel 8.6 umsetzt. Er ist nach den Überschriften in Anhang II der SCCs gegliedert. Cal.com kann diese Maßnahmen gemäß DPA §5.3 aktualisieren, sofern die Gesamtsicherheit der Services nicht wesentlich verringert wird. Cal.coms Kontrollinventar und unabhängige Prüfberichte sind verfügbar unter trust.cal.com; die nachstehenden Maßnahmen, nicht das Kontrollinventar, sind die vertragliche Beschreibung für Klausel 8.6.

Teil 5. Anhang III — Liste der Unterauftragsverarbeiter

Die verbindliche, aktuelle Liste der Unterauftragsverarbeiter, einschließlich Unternehmensnamen, Standorten und Zwecken, wird veröffentlicht unter trust.cal.com und wird gemäß DPA §6.3 aktualisiert. Cal.com erteilt die nach Klausel 9(a) erforderliche schriftliche Mitteilung unter Verwendung eines dokumentierten elektronischen Verfahrens gemäß DPA §6.3, bevor für die betreffende Verarbeitung ein Unterauftragsverarbeiter hinzugefügt oder ersetzt wird. Für die Zwecke von Klausel 9(a) erteilt der Kunde unter Modul Zwei Cal.com eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter aus der vereinbarten Liste unter trust.cal.com zu beauftragen, wie sie zum Datum des Inkrafttretens der SCCs zwischen den Parteien besteht. Unter Modul Drei erfordert die Beauftragung dieser Unterauftragsverarbeiter die allgemeine schriftliche Genehmigung des betreffenden Verantwortlichen. Hinzufügungen oder Ersetzungen unterliegen Klausel 9(a) und DPA §6.3–6.4, soweit dies mit dieser Klausel vereinbar ist.

Da Klausel 9(a) Option 2 gilt, gibt dieser Anhang die Liste nicht wieder.

Die Unterauftragsverarbeiter-Liste weist die relevanten Verarbeitungsstandorte für personenbezogene Kundendaten aus. Das Gründungsland eines Unterauftragsverarbeiters ist keine Aussage darüber, wo er die Daten verarbeitet. Änderungen unterliegen weiterhin den geltenden Mitteilungs- und Genehmigungsanforderungen. Anbieter, die nur für Cal.coms eigene Zwecke genutzt werden, sind keine Unterauftragsverarbeiter und werden nicht aufgeführt: Analysen und Werbung für die Marketing-Website (Google Analytics/GTM, X Ads), Cal.coms eigenes CRM (HubSpot) sowie Apps, die der Kunde mit seinem eigenen Drittanbieter-Konto verbindet (Zapier, Dub, Close.com, GA4/GTM-Apps), bei denen der Kunde der Verantwortliche ist, der diesen Anbieter direkt anweist.

Teil 6. UK Addendum — ausgefüllte Tabellen

Tabelle 1: Parteien. Startdatum: das Datum, an dem die SCCs zwischen den Parteien gemäß Teil 1.4 in Kraft treten. Exporteur und Importeur: wie in Anhang I.A angegeben, ergänzt um den Handelsnamen jeder Partei, falls abweichend, die eingetragene Anschrift oder die jeweils maßgebliche Hauptanschrift sowie eine offizielle Registernummer, sofern vorhanden. Wichtige Kontakte: die für jede Partei erfasste Stellenbezeichnung und die Kontaktdaten. Ausfertigung: gemäß Abschnitt 2 des UK Addendum und dem anwendbaren Ausfertigungsnachweis.

Tabelle 2: Ausgewählte SCCs, Module und ausgewählte Klauseln. Die genehmigten EU-SCCs, einschließlich der Anhangsinformationen, wie durch diesen Zeitplan ausgefüllt: Modul Zwei oder Modul Drei, wie nach Teil 2 anwendbar; Klausel 7 gilt; der optionale Wortlaut von Klausel 11 gilt nicht; Klausel 9(a) Option 2 mit der in Teil 2 angegebenen Mitteilungsfrist (DPA §6.3); Klauseln 17 und 18 wie in Teil 2, vorbehaltlich Abschnitt 15 des UK Addendum (der für Angelegenheiten, die dem UK Addendum unterliegen, das Recht und die Gerichte von England und Wales ersetzt). Beitrittsklausel: gilt. Werden vom Importeur erhaltene personenbezogene Daten mit vom Exporteur erhobenen personenbezogenen Daten kombiniert? Nein.

Tabelle 3: Anhangsinformationen. Anhang 1A: wie in Teil 3.A. Anhang 1B: wie in Teil 3.B. Anhang II: wie in Teil 4. Anhang III: wie in Teil 5.

Tabelle 4: Beendigung dieses Addendum, wenn sich das genehmigte Addendum ändert. Der Importeur kann das UK Addendum wie in dessen Abschnitt 19 beschrieben beenden.

Für Übermittlungen in das Vereinigte Königreich sind Verweise in den SCCs auf die GDPR, das Recht eines Mitgliedstaats und die Aufsichtsbehörde so zu lesen, wie im UK Addendum festgelegt; die zuständige Aufsichtsbehörde ist der UK Information Commissioner.

Teil 7. Schweizer Änderungen

Für Übermittlungen, die dem Schweizer Bundesgesetz über den Datenschutz („FADP“) unterliegen:

(a) Verweise auf die GDPR sind als Verweise auf den FADP zu lesen, und Verweise auf Datenschutzrecht der EU oder eines Mitgliedstaats als Verweise auf das entsprechende Schweizer Datenschutzrecht, ohne die in Absatz (d) getroffenen vertraglichen Rechtswahl- und Gerichtsstandsvereinbarungen zu ändern, soweit die Übermittlung ausschließlich dem FADP unterliegt; unterliegt eine Übermittlung sowohl der GDPR als auch dem FADP, gelten die SCCs parallel nach beiden;

(b) der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte der Schweiz ist für Übermittlungen zuständig, die dem FADP unterliegen; gilt auch die GDPR, bleibt die nach Klausel 13 für GDPR-Angelegenheiten benannte zuständige Behörde zuständig;

© der Begriff „Mitgliedstaat“ wird nicht so ausgelegt, dass betroffene Personen in der Schweiz davon ausgeschlossen werden, ihre Rechte an ihrem gewöhnlichen Aufenthaltsort in der Schweiz gemäß Klausel 18© einzuklagen;

(d) das anwendbare Recht und der Gerichtsstand gemäß den Klauseln 17 und 18 bleiben wie in Teil 2, sofern zwingendes Schweizer Recht nichts anderes verlangt.

Teil 8. Angaben zu Modul Drei

Wenn der Kunde als Auftragsverarbeiter für einen Dritt-Verantwortlichen handelt:

(a) Der Kunde bestätigt, dass der Verantwortliche die Beauftragung von Cal.com als Unterauftragsverarbeiter und die Übermittlung nach den SCCs genehmigt hat und dass der Kunde die Weisungen des Verantwortlichen, einschließlich Weisungen zu Anfragen betroffener Personen, Löschung und Audits, über die im DPA vorgesehenen Kanäle weiterleiten wird;

(b) Mitteilungen müssen die Empfänger erreichen, die nach jeder anwendbaren SCC-Bestimmung erforderlich sind. Der Kunde leitet Mitteilungen weiter, wenn die SCCs ihm diese Verantwortung zuweisen. Cal.com wird den Verantwortlichen direkt benachrichtigen, wenn die SCCs dies verlangen, einschließlich gemäß Klausel 8.6©, sofern angemessen und machbar. Jede autorisierte Mitteilungsregelung über den Kunden muss die Rechte des Verantwortlichen und die von den SCCs verlangten Fristen wahren.

© Der Kunde stellt Cal.com von Ansprüchen des Verantwortlichen frei, die sich aus der fehlenden Befugnis des Kunden oder aus Weisungen ergeben, die Cal.com über den Kunden erhält (DPA §12.4(a)). Diese Freistellung beschränkt nicht Cal.coms Pflichten oder Haftung nach den SCCs.