GitHub-Datenschutzvereinbarung

Diese GitHub-Datenschutzvereinbarung ist Bestandteil der GitHub-Kundenvereinbarung zwischen dem Kunden („Sie“) und GitHub, Inc. („GitHub“) und regelt die Nutzung der Online-Dienste durch Ihre juristische Person. Sie legt die Verpflichtungen der Parteien in Bezug auf die von GitHub verarbeiteten personenbezogenen Daten des Kunden fest. In diesem Dokument nicht definierte großgeschriebene Begriffe haben die Bedeutung, die ihnen an anderer Stelle in Ihrer GitHub-Kundenvereinbarung zugewiesen ist.

1. Definitionen.

A. „CCPA“ bezeichnet den California Consumer Privacy Act (Cal. Civ. Code § 1798.100 ff.) sowie dessen Durchführungsverordnungen.

B. „Personenbezogene Daten des Kunden“ bezeichnet alle Daten – einschließlich aller Text-, Audio-, Video- oder Bilddateien sowie Software –, die GitHub vom Kunden oder in dessen Namen im Rahmen der Nutzung der Online-Dienste bereitgestellt werden.

C. „DPA“ bezeichnet diese GitHub-Datenschutzvereinbarung.

D. „Datenschutzanforderungen“ bezeichnet die geltenden Verpflichtungen, die GitHub durch die DSGVO, etwaige untergeordnete Rechtsvorschriften oder Verordnungen zur Umsetzung der DSGVO, den CCPA sowie alle sonstigen für GitHub geltenden Gesetze, Verordnungen und sonstigen rechtlichen Anforderungen auferlegt werden und die sich beziehen auf:

i. Datenschutz und Datensicherheit; oder

ii. die Nutzung, Erhebung, Aufbewahrung, Speicherung, Sicherung, Offenlegung, Übermittlung, Entsorgung und sonstige Verarbeitung jeglicher personenbezogener Daten.

E. „DSGVO“ bezeichnet:

i. die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016; und

ii. die Verordnung (EU) 2016/679 in der Fassung, in der sie durch den „European Union (Withdrawal) Act 2018“ des Vereinigten Königreichs in das nationale Recht des Vereinigten Königreichs überführt und durch die „Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019“ des Vereinigten Königreichs geändert wurde (jeweils in der jeweils geltenden Fassung).

F. „GitHub-Affiliate“ bezeichnet jede Einheit, die GitHub kontrolliert, von GitHub kontrolliert wird oder unter gemeinsamer Kontrolle mit GitHub steht.

G. „GitHub-Kundenvereinbarung“ oder „Vereinbarung“ bezeichnet Ihre Vereinbarung(en) für die Online-Dienste.

H. „Anweisungen“ bezeichnet die Aktivitäten, zu deren Durchführung Sie GitHub als Auftragsverarbeiter in Ihrem Namen anweisen.

I. „Online-Dienste“ bezeichnet jegliche Dienste oder Software, die GitHub Ihnen im Rahmen einer schriftlichen und unterzeichneten Vereinbarung bereitstellt.

J. „Vorschau“ bezeichnet Online-Dienste, die zu Vorschau-, Evaluierungs-, Demonstrations- oder Testzwecken bereitgestellt werden, sowie alle Beta-, Technical-Preview- oder sonstigen Vorabversionen der Online-Dienste.

K. „Professionelle Dienste“ bezeichnet von GitHub erbrachte Schulungs-, Beratungs- oder Implementierungsdienste. Professionelle Dienste beinhalten keinen Support.

L. „Daten zu professionellen Diensten“ bezeichnet alle personenbezogenen Daten des Kunden, die GitHub von einem Kunden oder in dessen Namen bereitgestellt werden, zu deren Abruf von einem Online-Dienst der Kunde GitHub ermächtigt, oder die anderweitig von oder im Auftrag von GitHub im Rahmen einer Beauftragung zur Erbringung professioneller Dienste erlangt oder verarbeitet werden.

M. „Sicherheitsvorfall“ bezeichnet eine Sicherheitsverletzung, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugriff auf personenbezogene Kundendaten führt, die von GitHub in Ihrem Auftrag verarbeitet werden.

N. „Standardvertragsklauseln“ oder „SCCs“ bezeichnen:

i. sofern die DSGVO Anwendung findet, die Vertragsklauseln im Anhang zum Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates („EU-SCCs“);

ii. sofern die UK-DSGVO Anwendung findet, das vom Information Commissioner gemäß § 119A Abs. 1 des Data Protection Act 2018 herausgegebene „International Data Transfer Addendum to the EU Commission Standard Contractual Clauses“ („UK-Addendum“); und

iii. sofern das Schweizer Datenschutzgesetz („DSG“) Anwendung findet, die vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten („EDÖB“) herausgegebenen, genehmigten oder anderweitig anerkannten anwendbaren Standarddatenschutzklauseln („Schweizer SCCs“).

O. „Unterauftragsverarbeiter“ bezeichnet einen Auftragsverarbeiter, der ein Dritter ist und von GitHub zur Verarbeitung Ihrer Daten beauftragt wurde.

P. „Liste der Unterauftragsverarbeiter“ bezeichnet die Liste der Unterauftragsverarbeiter, die auf der GitHub-Website unter https://github.com/subprocessors oder an einem Nachfolgeort aufgeführt sind.

Q. „Fehlerbehebung“ bezeichnet das Verhindern, Erkennen, Untersuchen, Eindämmen und Beheben von Problemen, einschließlich Sicherheitsvorfällen und Problemen, die in den jeweiligen Produkten festgestellt wurden. Zur Fehlerbehebung gehören die Beseitigung von Softwarefehlern sowie sonstige Maßnahmen, um die Online-Dienste auf dem aktuellen Stand und leistungsfähig zu halten.

R. Die Begriffe „Verantwortlicher“, „betroffene Person“, „personenbezogene Daten“, „Verarbeitung“ und „Auftragsverarbeiter“ haben die ihnen in der DSGVO zugewiesene Bedeutung.

2. Geltungsbereich und Rangfolge.

A. Diese DPA gilt für alle Online-Dienste, mit Ausnahme von:

i. Produkten, die in den individuellen GitHub-Produktbedingungen ausdrücklich als ausgeschlossen gekennzeichnet sind; in diesem Fall gelten diese Bedingungen, sofern sie den Datenschutzbestimmungen entsprechen, und

ii. Vorschauversionen, es sei denn, diese werden von GitHub ausdrücklich als dieser DPA unterliegend ausgewiesen. Vorschauversionen können Datenschutz- und Sicherheitsmaßnahmen nutzen, die von den üblicherweise in Online-Diensten bereitgestellten Maßnahmen abweichen, und werden gemäß den Vorschau-Bedingungen angeboten. Sofern nicht anders angegeben, sollten Kunden Vorschauversionen nicht zur Verarbeitung personenbezogener Daten oder anderer Daten verwenden, die rechtlichen oder regulatorischen Compliance-Anforderungen unterliegen.

B. Im Falle eines sonstigen Widerspruchs oder einer Unstimmigkeit zwischen den Bestimmungen dieser DPA-Bedingungen und anderen Bestimmungen der GitHub-Kundenvereinbarung haben die Bestimmungen dieser DPA Vorrang. Die Bestimmungen dieser DPA haben Vorrang vor allen entgegenstehenden Bestimmungen in Bezug auf die Verarbeitung von personenbezogenen Daten des Kunden oder von Daten aus professionellen Dienstleistungen.

3. Rollen und Verantwortlichkeiten im Verarbeitungsprozess.

A. Rollen. Sie sind der Verantwortliche für die personenbezogenen Daten der Kunden, und wir sind der Auftragsverarbeiter dieser Daten, es sei denn:

i. Sie sind der Auftragsverarbeiter der personenbezogenen Daten der Kunden. In diesem Fall ist GitHub ein Unterauftragsverarbeiter;

ii. GitHub ist ein unabhängiger Verantwortlicher, der personenbezogene Daten des Kunden zu den in Abschnitt 3.C dieser DPA aufgeführten Zwecken verarbeitet; oder

iii. sofern in den für einen bestimmten Online-Dienst geltenden spezifischen Bedingungen gemäß Abschnitt 2.A. nicht ausdrücklich anders bestimmt.

B. Ihre Verarbeitungsanweisungen an GitHub. Sie weisen GitHub an, die folgenden Aktivitäten als Auftragsverarbeiter in Ihrem Namen durchzuführen:

i. Bereitstellung von Online-Diensten durch:

a. Bereitstellung und Aktualisierung der Online-Dienste, wie von Ihnen oder Ihren Nutzern konfiguriert und genutzt, sowie Bereitstellung fortlaufender personalisierter Erlebnisse und Empfehlungen;

b. Fehlerbehebung; und

c. Aktualisierung und Sicherstellung der Leistungsfähigkeit der Online-Dienste sowie Steigerung der Benutzerproduktivität, Zuverlässigkeit, Effizienz, Qualität, des Datenschutzes, der Barrierefreiheit und der Sicherheit.

ii. Bereitstellung professioneller Dienstleistungen durch:

a. Bereitstellung der professionellen Dienstleistungen, einschließlich technischem Support, professioneller Planung, Beratung, Anleitung, Datenmigration, Implementierung sowie Dienstleistungen zur Lösungs- und Softwareentwicklung;

b. Fehlerbehebung im Zusammenhang mit professionellen Dienstleistungen; und

c. Optimierung der Erbringung, Effizienz, Qualität und Sicherheit der professionellen Dienstleistungen sowie der zugrundeliegenden Produkte auf der Grundlage von Problemen, die während der Erbringung der Dienstleistungen identifiziert wurden – einschließlich der Behebung von Softwarefehlern sowie sonstiger Maßnahmen, um die professionellen Dienstleistungen aktuell und leistungsfähig zu halten.

iii. Verarbeitung personenbezogener Kundendaten gemäß:

a. Ihrer GitHub-Kundenvereinbarung;

b. Anhang I zu den Standardvertragsklauseln; und

c. jeglichen sonstigen dokumentierten Anweisungen, die von Ihnen erteilt und von GitHub schriftlich als Anweisungen im Sinne dieser DPA anerkannt wurden.

C. GitHubs unabhängige Datenverarbeitung. GitHub verarbeitet bestimmte personenbezogene Daten von Kunden als eigenständiger Verantwortlicher. GitHub führt eine solche Verarbeitung unter Einhaltung der datenschutzrechtlichen Anforderungen im Allgemeinen – und der DSGVO im Besonderen – sowie in einer Weise durch, die mit den in der GitHub-Datenschutzerklärung dargelegten Zwecken im Einklang steht. Diese umfassenden Zwecke werden hier der Transparenz und der besseren Übersichtlichkeit halber nochmals aufgeführt:

i. Verwaltung von Konten, Abrechnung und Kundenbeziehungen sowie die damit verbundene Kundenkorrespondenz;

ii. Vergütung (z. B. Berechnung von Mitarbeiterprovisionen und Partneranreizen);

iii. Erfüllung und Abwicklung rechtlicher Verpflichtungen, einschließlich der Beantwortung von Anfragen betroffener Personen bezüglich personenbezogener Daten, die von GitHub als Verantwortlichem verarbeitet werden (beispielsweise Website-Daten), sowie die Einhaltung steuerrechtlicher Anforderungen, vertraglicher Vereinbarungen und die Beilegung von Streitigkeiten;

iv. Erkennung, Verhinderung und Schutz vor Missbrauch, Virenprüfung und Überprüfung auf Verstöße gegen die Nutzungsbedingungen;

v. Erstellung aggregierter statistischer Daten für das interne Berichtswesen, die Finanzberichterstattung, die Umsatzplanung, die Kapazitätsplanung und die Prognosemodellierung (einschließlich Produktstrategie).

GitHub wird personenbezogene Daten des Kunden weder nutzen noch anderweitig verarbeiten für: (a) Nutzerprofiling, (b) Werbezwecke oder ähnliche kommerzielle Zwecke, (c) den Verkauf oder die Vermittlung von Daten oder (d) jegliche anderen Zwecke, die nicht den in diesem Abschnitt dargelegten Zwecken entsprechen. Sie stimmen zu, dass GitHub diese Verarbeitung durchführen darf.

D. Rechtmäßigkeit von Anweisungen.

i. Es liegt in Ihrer Verantwortung sicherzustellen, dass Ihre Anweisungen den datenschutzrechtlichen Anforderungen entsprechen. GitHub ist nicht dafür verantwortlich festzustellen, welche Gesetze oder Vorschriften auf Ihr Unternehmen Anwendung finden, oder festzustellen, ob die Erbringung von Dienstleistungen durch GitHub den Anforderungen solcher Gesetze entspricht.

ii. Sie stellen sicher, dass die Verarbeitung personenbezogener Kundendaten gemäß Ihren Anweisungen nicht dazu führt, dass GitHub gegen Gesetze oder Vorschriften – einschließlich der Datenschutzanforderungen – verstößt.

iii. GitHub wird Sie informieren, sofern es Kenntnis davon erlangt oder begründeterweise annimmt, dass Ihre Anweisungen gegen geltende Gesetze oder Vorschriften verstoßen.

E. Zusätzliche Anweisungen. Die Parteien werden zusätzliche Anweisungen, die außerhalb des Geltungsbereichs der GitHub-Kundenvereinbarung oder der DPA liegen, schriftlich vereinbaren.

F. Offenlegung personenbezogener Kundendaten.

i. GitHub wird keine personenbezogenen Daten von Kunden offenlegen oder Zugriff darauf gewähren, es sei denn:

a. dies erfolgt gemäß Ihren Anweisungen; oder

b. dies erfolgt wie in dieser DPA beschrieben; oder

c. dies ist gesetzlich vorgeschrieben; in diesem Fall findet die Zusatzvereinbarung zu zusätzlichen Schutzmaßnahmen in Anhang IV der Standardvertragsklauseln Anwendung.

ii. GitHub wird keine personenbezogenen Daten von Kunden an Strafverfolgungsbehörden offenlegen oder diesen Zugriff darauf gewähren, es sei denn, dies ist gesetzlich vorgeschrieben oder durch ein rechtliches Verfahren erzwungen. Anfragen von Strafverfolgungsbehörden bezüglich personenbezogener Kundendaten werden, soweit möglich, an Sie weitergeleitet.

iii. GitHub wird Sie kontaktieren, falls die Offenlegung Ihrer personenbezogenen Kundendaten erzwungen wird, und Ihnen eine Kopie des rechtlichen Verfahrens übermitteln, das die Offenlegung erzwingt – es sei denn, uns ist dies gesetzlich untersagt.

G. Rechte der betroffenen Person. Falls GitHub eine Anfrage von einem Ihrer Betroffenen erhält, die sich auf einen Online-Dienst bezieht, bei dem GitHub als Ihr Auftragsverarbeiter oder Unterauftragsverarbeiter fungiert, wird GitHub den Betroffenen an Sie verweisen. Im Einklang mit der Funktionalität der Online-Dienste und der Rolle von GitHub werden wir mit Ihnen zusammenarbeiten und Ihnen die erforderlichen Mittel zur Verfügung stellen, um zu reagieren. Sie sind allein für die Beantwortung dieser Anfragen verantwortlich.

4. Sicherheit.

GitHub wird angemessene technische und organisatorische Maßnahmen sowie Sicherheitsvorkehrungen implementieren und aufrechterhalten, wie in Anhang II der Standardvertragsklauseln dargelegt. Sie und GitHub verpflichten sich, geeignete technische und organisatorische Maßnahmen zu implementieren, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, einschließlich – soweit angemessen –:

A. der Pseudonymisierung und Verschlüsselung personenbezogener Daten;

B. der Fähigkeit, die fortlaufende Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme und -dienste sicherzustellen;

C. der zeitnahen Wiederherstellung der Verfügbarkeit und des Zugriffs auf personenbezogene Daten im Falle eines physischen oder technischen Vorfalls; und

D. einem Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

5. Audit. GitHub stellt Ihnen auf Anfrage Berichte zur Sicherheits-Compliance zur Verfügung, wie etwa externe Audit-Berichte nach SOC1 Typ 2, SOC2 Typ 2 und ISO 27001. Sollten Sie verpflichtet sein, auf eine behördliche oder aufsichtsrechtliche Anfrage zu reagieren, die die Mitwirkung von GitHub erfordert, und sollten Ihre Verpflichtungen nicht auf angemessene Weise durch die standardmäßigen Sicherheits-Compliance-Berichte von GitHub erfüllt werden können, wird GitHub unverzüglich auf Ihre zusätzlichen Anweisungen und Informationsanfragen reagieren – und zwar gemäß den folgenden Bedingungen:

A. GitHub wird Zugang zu relevantem, sachkundigem Personal, zu Dokumentationen sowie zu Anwendungssoftware gewähren.

B. Sie und GitHub werden sich schriftlich auf Umfang, Zeitplan, Dauer, Kontrolle und Nachweisanforderungen einigen.

C. Sofern GitHub nicht anderweitig gesetzlich oder durch eine zuständige Aufsichtsbehörde dazu verpflichtet ist, gewährt GitHub einen solchen Zugang:

i. wenn die Regulierungs- oder Aufsichtsbehörde eine unabhängige und akkreditierte externe Prüfgesellschaft beauftragt;

ii. während der regulären Geschäftszeiten;

iii. nach vorheriger schriftlicher Ankündigung mit einer Frist von 30 Tagen; und

iv. ausschließlich zu Ihren Daten sowie zu jenen Systemen oder Einrichtungen von GitHub, die an den betreffenden Online-Diensten beteiligt sind. Weder Sie noch Ihre Regulierungsbehörden oder deren Beauftragte haben Zugriff auf Daten anderer Kunden von GitHub oder auf Systeme oder Einrichtungen von GitHub, die nicht in die Online-Dienste eingebunden sind.

D. Sie werden GitHub für die im Rahmen unserer Zusammenarbeit entstandenen Aufwendungen entschädigen, einschließlich aller Auslagen sowie angemessener Kosten und Gebühren für die Zeit, die GitHub im Zusammenhang mit dieser Zusammenarbeit aufwendet, oder für Dienstleistungen, die GitHub erbringt.

E. Sofern dies nicht gesetzlich untersagt ist, werden Sie GitHub alle Berichte, Erkenntnisse oder empfohlenen Maßnahmen mitteilen, die GitHub betreffen.

6. Sicherheitsvorfälle.

A. Wenn GitHub von einem Sicherheitsvorfall Kenntnis erlangt, wird GitHub ohne unangemessene Verzögerung:

i. Sie gemäß den Benachrichtigungsvorschriften dieser Datenverarbeitungsvereinbarung über den Sicherheitsvorfall informieren;

ii. den Sicherheitsvorfall untersuchen und detaillierte Informationen darüber bereitstellen; und

iii. angemessene Maßnahmen ergreifen, um dessen Auswirkungen abzumildern und etwaige daraus resultierende Schäden zu minimieren.

B. Die Benachrichtigung durch GitHub über einen Sicherheitsvorfall gemäß diesem Abschnitt oder die Reaktion darauf stellt keine Anerkennung eines Verschuldens oder einer Haftung dar.

C. Sie sind allein für die Einhaltung Ihrer Verpflichtungen gemäß etwaiger Gesetze zur Meldung von Vorfällen verantwortlich. GitHub wird Sie in dem Umfang unterstützen, der nach geltendem Recht erforderlich ist, um Ihre Verpflichtung zur Benachrichtigung der zuständigen Behörden und der betroffenen Personen zu erfüllen.

D. Sie müssen GitHub unverzüglich über jeglichen möglichen Missbrauch Ihrer Konten oder Authentifizierungsdaten sowie über jeglichen Sicherheitsvorfall im Zusammenhang mit einem Online-Dienst benachrichtigen.

7. Datenübermittlung und Standort. Sie beauftragen GitHub damit, personenbezogene Daten des Kunden in die Vereinigten Staaten oder in ein anderes Land zu übermitteln, in dem GitHub oder dessen Unterauftragsverarbeiter tätig sind, sowie diese personenbezogenen Daten des Kunden zu speichern und zu verarbeiten, um die Online-Dienste bereitzustellen – vorbehaltlich der nachstehenden sowie der an anderer Stelle in dieser DPA beschriebenen Schutzvorkehrungen.

A. GitHub darf personenbezogene Daten von Kunden in die und in den Vereinigten Staaten, in Drittländer (einschließlich solcher außerhalb des Europäischen Wirtschaftsraums („EWR“) ohne Angemessenheitsbeschluss der Europäischen Kommission) sowie an Unterauftragsverarbeiter, verbundene Unternehmen von GitHub und unsere professionellen Berater übermitteln und dort verarbeiten. GitHub hat sicherzustellen, dass solche Übermittlungen in Übereinstimmung mit den Datenschutzanforderungen und dieser DPA erfolgen. Wenn Sie einen Online-Dienst auswählen und nutzen, bei dem bestimmte Daten im Ruhezustand in einem bestimmten geografischen Gebiet gespeichert werden, speichert GitHub die entsprechenden Daten auf der Grundlage dieser Anweisung.

B. Jede Übermittlung personenbezogener Kundendaten, die dieser DPA unterliegen, aus Mitgliedstaaten der EU, des EWR, der Schweiz oder des Vereinigten Königreichs in Länder, für die die Europäische Kommission, der EDÖB oder das Information Commissioner’'s Office des Vereinigten Königreichs noch nicht entschieden haben, dass das Drittland – oder spezifischere Sektoren innerhalb dieses Drittlandes – ein angemessenes Schutzniveau gewährleistet, hat zu erfolgen:

i. auf der Grundlage der Selbstzertifizierung von GitHub gemäß dem EU-US-Datenschutzrahmen (EU-US Data Privacy Framework) und – soweit anwendbar – der UK-Erweiterung zum EU-US-Datenschutzrahmen und/oder dem Schweizerisch-US-Datenschutzrahmen (Swiss-US Data Privacy Framework); und/oder

ii. mittels der Standardvertragsklauseln.

C. Hinsichtlich der Standardvertragsklauseln vereinbaren die Parteien:

i. Übermittlungen zwischen Verantwortlichen. Die SCCs gelten für personenbezogene Daten, die durch die DSGVO geschützt sind und gemäß Abschnitt 3.C dieser DPA verarbeitet werden, wobei die Ausfüllung wie folgt erfolgt:

a. Modul Eins findet Anwendung;

b. in Klausel 7 findet die optionale Andockklausel Anwendung;

c. in Klausel 11 findet die optionale Formulierung keine Anwendung;

d. in Klausel 17 findet Option 1 Anwendung, und die neuen EU-SCCs unterliegen dem niederländischen Recht; und

e. in Klausel 18(b) sind Streitigkeiten vor den Gerichten der Niederlande beizulegen.

ii. Übermittlungen von Verantwortlicher zu Auftragsverarbeiter/von Auftragsverarbeiter zu Auftragsverarbeiter. Die SCCs gelten für personenbezogene Daten, die durch die DSGVO geschützt sind und gemäß Abschnitt 3.B dieser DPA verarbeitet werden, wobei die Ausfüllung wie folgt erfolgt:

a. Modul Zwei oder Modul Drei findet Anwendung (je nach Sachlage);

b. in Klausel 7 findet die optionale Andockklausel Anwendung;

c. in Klausel 9 findet Option 2 Anwendung, und der Zeitraum für die Vorankündigung von Änderungen bei Unterauftragsverarbeitern entspricht dem in Abschnitt 9 dieser DPA festgelegten Zeitraum;

d. in Klausel 11 findet die optionale Formulierung keine Anwendung;

e. in Klausel 17 findet Option 1 Anwendung, und die EU-Standardvertragsklauseln unterliegen dem niederländischen Recht; und

f. in Klausel 18(b) sind Streitigkeiten vor den Gerichten der Niederlande beizulegen.

iii. Übermittlungen aus dem Vereinigten Königreich. In Bezug auf personenbezogene Daten, die durch die UK-DSGVO geschützt sind, findet die UK-Zusatzvereinbarung Anwendung, ergänzt wie folgt:

a. Die SCCs gelten auch für Übermittlungen solcher personenbezogener Daten, vorbehaltlich des nachstehenden Unterabschnitts (b);

b. die Tabellen 1 bis 3 der UK-Zusatzvereinbarung gelten als mit den relevanten Informationen aus den SCCs gemäß Abschnitt 7.B.(i)-(ii) dieser Datenverarbeitungsvereinbarung ausgefüllt, und die Option „keine der Parteien“ gilt in Tabelle 4 als angekreuzt; und

c. das Startdatum der UK-Zusatzvereinbarung (wie in Tabelle 1 angegeben) ist das Datum dieser DPA.

iv. Übermittlungen aus der Schweiz. In Bezug auf personenbezogene Daten, die durch das schweizerische Datenschutzgesetz geschützt sind, finden die EU-Standardvertragsklauseln (EU-SCCs) gemäß den Abschnitten 7.B.(i)–(ii) mit den folgenden Modifikationen Anwendung:

a. Sämtliche Verweise in den EU-SCC auf die „Richtlinie 95/46/EG“ oder die „Verordnung (EU) 2016/679“ sind als Verweise auf das schweizerische Bundesgesetz über den Datenschutz auszulegen;

b. Verweise auf „EU“, „Union“, „Mitgliedstaat“ und „Mitgliedstaatsrecht“ sind als Verweise auf die Schweiz und das schweizerische Recht, soweit anwendbar, auszulegen; und

c. Verweise auf die „zuständige Aufsichtsbehörde“ und die „zuständigen Gerichte“ sind als Verweise auf den EDÖB und die zuständigen Gerichte in der Schweiz auszulegen, es sei denn, die wie vorstehend implementierten SCCs können nicht für eine rechtmässige Übermittlung solcher personenbezogener Daten in Übereinstimmung mit dem schweizerischen Datenschutzgesetz herangezogen werden; in diesem Fall sind stattdessen die schweizerischen Standardvertragsklauseln (Swiss SCCs) durch Verweis in dieses DPA einzubeziehen, bilden einen integralen Bestandteil desselben und finden auf solche Übermittlungen Anwendung.

8. Aufbewahrung und Löschung.

Nach Abschluss der Dienste wird GitHub – soweit GitHub als Auftragsverarbeiter tätig ist und sofern dies nicht gesetzlich untersagt ist – sämtliche personenbezogenen Daten des Kunden löschen oder an Sie zurückgeben (je nach Ihrer Wahl) und bestehende Kopien gemäß unserer Richtlinie zur Datenaufbewahrung und -löschung löschen.

9. Unterauftragsverarbeiter.

A. GitHub kann Unterauftragsverarbeiter unserer Wahl beauftragen. Die vorstehende Ermächtigung stellt Ihre vorherige schriftliche Zustimmung dazu dar, dass GitHub die Verarbeitung personenbezogener Daten an einen beliebigen Unterauftragsverarbeiter auf der Liste der Unterauftragsverarbeiter untervergeben darf.

B. GitHub kann von Zeit zu Zeit neue Unterauftragsverarbeiter hinzuziehen. GitHub wird Sie über solche Beauftragungen benachrichtigen, indem es die Liste der Unterauftragsverarbeiter aktualisiert und Sie über diese Aktualisierung informiert (auf die in Abschnitt https://gh.io/subscribe) dargelegte Weise), und zwar 30 Tage bevor dem betreffenden Unterauftragsverarbeiter Zugriff auf personenbezogene Daten des Kunden gewährt wird.

C. Falls Sie einem neuen Unterauftragsverarbeiter nicht zustimmen, können Sie jegliches Abonnement für die betroffenen Online-Dienste fristlos und ohne Vertragsstrafe kündigen, indem Sie vor Ablauf der maßgeblichen Kündigungsfrist eine schriftliche Kündigungserklärung übermitteln. Sofern der betroffene Online-Dienst Teil einer Suite ist oder als Bestandteil eines Bundles erworben wurde, erstreckt sich eine etwaige Kündigung auf die gesamte Suite bzw. das gesamte Bundle.

D. GitHub ist für die Einhaltung der Verpflichtungen von GitHub gemäß dieser DPA durch seine Unterauftragsverarbeiter verantwortlich und wird diese Unterauftragsverarbeiter auf der Grundlage schriftlicher Vereinbarungen beauftragen, die den Anforderungen der DSGVO an die Beauftragung von Unterauftragsverarbeitern entsprechen. GitHub wird die Unterauftragsverarbeiter überwachen, um sicherzustellen, dass deren vertragliche Verpflichtungen erfüllt werden.

10. CCPA. Sofern und soweit GitHub im Rahmen des CCPA personenbezogene Daten in Ihrem Auftrag und gemäß Ihren dokumentierten Anweisungen verarbeitet, wird GitHub Folgendes unterlassen:

A. die personenbezogenen Daten zu verkaufen, wie der Begriff „Verkauf“ im CCPA definiert ist;

B. die personenbezogenen Daten an Dritte zum Zwecke der kontextübergreifenden verhaltensbasierten Werbung weiterzugeben, zu vermieten, freizugeben, offenzulegen, zu verbreiten, zugänglich zu machen, zu übermitteln oder auf sonstige Weise – sei es mündlich, schriftlich oder auf elektronischem oder anderem Wege – mitzuteilen; dies gilt unabhängig davon, ob hierfür eine monetäre oder sonstige werthaltige Gegenleistung erfolgt, und schließt Transaktionen für kontextübergreifende verhaltensbasierte Werbung ein, bei denen kein Geld ausgetauscht wird;

C. die personenbezogenen Daten für andere Zwecke aufzubewahren, zu nutzen oder offenzulegen als für die in dieser DPA und der GitHub-Kundenvereinbarung festgelegten geschäftlichen Zwecke oder soweit dies anderweitig durch den CCPA gestattet ist;

D. die personenbezogenen Daten außerhalb der direkten Geschäftsbeziehung zum Kunden aufzubewahren, zu nutzen oder offenzulegen; oder

E. die personenbezogenen Daten mit personenbezogenen Informationen zusammenzuführen, die GitHub von Dritten oder in deren Auftrag erhält oder von in Kalifornien ansässigen Personen erhebt; hiervon ausgenommen ist die Zusammenführung personenbezogener Daten durch GitHub zur Erfüllung geschäftlicher Zwecke, soweit dies gemäß dem CCPA oder den im Rahmen des CCPA erlassenen oder ausgegebenen Vorschriften zulässig ist.

11. Bildungseinrichtungen.

A. Sofern Sie eine Bildungseinrichtung oder -organisation sind, die den Bestimmungen des Family Educational Rights and Privacy Act (FERPA) gemäß 20 U.S.C. § 1232g oder ähnlichen einzelstaatlichen Gesetzen zum Schutz der Privatsphäre von Schülern oder im Bildungswesen (zusammenfassend „Bildungsdatenschutzgesetze“) unterliegt, dürfen Sie GitHub keine personenbezogenen Daten übermitteln, die unter diese Bildungsdatenschutzgesetze fallen, ohne zuvor die schriftliche und spezifische Zustimmung von GitHub eingeholt zu haben – welche die Bereitschaft von GitHub, personenbezogene Daten entgegenzunehmen, die einem Bildungsdatenschutzgesetz unterliegen, ausdrücklich bekräftigt – und ohne eine gesonderte Vereinbarung mit GitHub geschlossen zu haben, welche die Rechte und Pflichten der Parteien in Bezug auf die Verarbeitung dieser personenbezogenen Daten durch GitHub im Zusammenhang mit den Online-Diensten regelt.

B. Unbeschadet des Vorstehenden und ohne Einschränkung der Rechtsbehelfe von GitHub im Falle eines Verstoßes gegen die vorstehende Bestimmung gilt: Sollten Sie gegen die vorstehende Bestimmung verstoßen, indem Sie GitHub personenbezogene Daten übermitteln, die unter den Geltungsbereich des FERPA fallen, ohne dass hierfür eine gesonderte Vereinbarung vorliegt, so erklären Sie sich damit einverstanden und erkennen an, dass GitHub für die Zwecke dieser DPA als „Schulvertreter“ (school official) mit „berechtigten pädagogischen Interessen“ (legitimate educational interests) an diesen personenbezogenen Daten gilt – jeweils im Sinne der Definitionen dieser Begriffe gemäß dem FERPA und den zugehörigen Durchführungsverordnungen. Sie nehmen zur Kenntnis, dass GitHub möglicherweise nur begrenzte oder gar keine Kontaktinformationen zu Ihren Schülern und deren Eltern besitzt. Folglich sind Sie dafür verantwortlich, sämtliche Zustimmungen von Schülern oder Eltern einzuholen, die nach geltendem Recht für die Nutzung der Online-Dienste durch einen Endnutzer erforderlich sein mögen, sowie – im Namen von GitHub – Schüler (oder, sofern erforderlich, deren gesetzliche Vertreter) über gerichtliche Anordnungen oder rechtmäßig erlassene Vorladungen zu benachrichtigen, welche die Offenlegung von bei GitHub gespeicherten personenbezogenen Daten verlangen, soweit dies nach geltendem Recht erforderlich ist.

12. CJIS-Kundenvereinbarung, HIPAA-Geschäftspartner, Biometrische Daten. Sofern keine vorherige, schriftliche und ausdrückliche Zustimmung von GitHub vorliegt, dürfen Sie GitHub keinerlei personenbezogene Daten übermitteln:

A. die sich auf strafrechtliche Verurteilungen und Straftaten beziehen, oder personenbezogene Daten, die vom Kunden im Rahmen der FBI Criminal Justice Information Services oder der damit verbundenen Sicherheitsrichtlinie erhoben oder anderweitig verarbeitet werden;

B. bei denen es sich um geschützte Gesundheitsinformationen handelt, die den Datenschutz-, Sicherheits- und Benachrichtigungsvorschriften bei Datenschutzverletzungen unterliegen, welche vom US-Gesundheitsministerium (United States Department of Health and Human Services) erlassen wurden (Teile 160 und 164 von Titel 45 des Code of Federal Regulations – Bundesgesetzessammlung), die gemäß dem „Health Insurance Portability and Accountability Act of 1996“ (Public Law 104-191) festgelegt wurden, oder die den Datenschutzgesetzen der einzelnen Bundesstaaten im Gesundheits- oder Medizinbereich unterliegen;

C. die im Rahmen einer klinischen Studie oder einer anderen biomedizinischen Forschungsstudie erhoben wurden, welche der „Federal Policy for the Protection of Human Subjects“ (Bundesrichtlinie zum Schutz menschlicher Versuchspersonen) unterliegt oder in Übereinstimmung mit dieser durchgeführt wird; oder

D. die unter die Datenschutzgesetze der Bundesstaaten, des Bundes oder ausländischer Rechtsordnungen im Bereich der Biometrie fallen oder anderweitig biometrische Informationen darstellen – einschließlich Informationen über die physischen, physiologischen, biologischen oder verhaltensbezogenen Merkmale einer Person oder aus solchen Informationen abgeleiteter Daten –, sofern diese einzeln oder in Kombination miteinander oder mit anderen Informationen dazu verwendet werden oder dazu bestimmt sind, die Identität einer Einzelperson festzustellen.

13. Verstoß. Sollten Sie der Ansicht sein, dass GitHub gegen seine Verpflichtungen gemäß dieser DPA verstößt, müssen Sie GitHub über einen solchen Verstoß benachrichtigen; GitHub stehen sodann 14 Werktage zur Verfügung, um einen solchen Verstoß zu beheben.

14. Benachrichtigungen.

A. Benachrichtigungen an GitHub. Sie übermitteln Benachrichtigungen an GitHub, indem Sie:

i. den Kundensupport kontaktieren oder das Webformular für Datenschutzanfragen von GitHub unter https://support.github.com/contact/privacy, verwenden – mit einer Kopie per E-Mail an den Datenschutzbeauftragten von GitHub unter dpo@github.com sowie einer Kopie per Post an:

GitHub Privacy

GitHub, Inc.

88 Colin P Kelly Jr St.

San Francisco, California 94107 USA

oder

ii. die in Ihrer GitHub-Kundenvereinbarung vorgesehene Methode.

B. Benachrichtigungen an Sie. GitHub kann Ihnen Benachrichtigungen zukommen lassen durch:

i. die in Ihrer GitHub-Kundenvereinbarung vorgesehene Methode; oder

ii. jegliches Mittel zur Benachrichtigung Ihres/Ihrer Administrators/Administratoren – einschließlich E-Mail –, das GitHub auswählt. Es liegt in Ihrer Verpflichtung, Ihre Kontaktinformationen bei GitHub aktuell zu halten; zudem haben Sie jede bei GitHub hinterlegte Kontaktadresse zu überwachen, damit Sie entsprechende Benachrichtigungen empfangen und auf diese reagieren können.

DPA Anhang 1

ANHANG I zu den Standardvertragsklauseln (EU/EWR)

A. LISTE DER PARTEIEN

MODUL EINS: VERANTWORTLICHER ZU VERANTWORTLICHER

MODUL ZWEI: VERANTWORTLICHER ZU AUFTRAGSVERARBEITER

MODUL DREI: AUFTRAGSVERARBEITER ZU AUFTRAGSVERARBEITER

Datenexporteur(e) für die oben genannten Module:

Name und Kontaktdaten: wie in der Vereinbarung festgelegt.

Tätigkeiten im Zusammenhang mit den gemäß diesen Klauseln übermittelten Daten: wie in der Vereinbarung festgelegt.

Unterschrift und Datum: Anhang 1 gilt als an dem Datum unterzeichnet, an dem die Übermittlung begann, oder an dem Datum, an dem die Vereinbarung unterzeichnet wurde – je nachdem, welches Datum früher liegt.

Rolle: MODUL EINS: VERANTWORTLICHER, MODUL ZWEI: VERANTWORTLICHER, MODUL DREI: AUFTRAGSVERARBEITER

Datenimporteur(e):

Name und Kontaktdaten: wie in der Vereinbarung festgelegt.

Tätigkeiten im Zusammenhang mit den gemäß diesen Klauseln übermittelten Daten: wie in der Vereinbarung festgelegt.

Unterschrift und Datum: Anhang 1 gilt als an dem Datum unterzeichnet, an dem die Übermittlung begann, oder an dem Datum, an dem die Vereinbarung unterzeichnet wurde – je nachdem, welches Datum früher liegt.

Rolle: MODUL EINS: VERANTWORTLICHER, MODUL ZWEI: AUFTRAGSVERARBEITER, MODUL DREI: (UNTER)AUFTRAGSVERARBEITER

B. Beschreibung der Übermittlung

MODUL EINS: VERANTWORTLICHER ZU VERANTWORTLICHER

MODUL ZWEI: VERANTWORTLICHER ZU AUFTRAGSVERARBEITER

MODUL DREI: AUFTRAGSVERARBEITER ZU AUFTRAGSVERARBEITER

Kategorien von betroffenen Personen, deren personenbezogene Daten übermittelt werden:

Zu den betroffenen Personen zählen Vertreter und Endnutzer des Datenexporteurs, einschließlich Mitarbeiter, Auftragnehmer, Kooperationspartner und Kunden des Datenexporteurs. Zu den betroffenen Personen können auch Einzelpersonen zählen, die versuchen, personenbezogene Daten an Nutzer der vom Datenimporteur bereitgestellten Dienste zu übermitteln oder zu übertragen. GitHub erkennt an, dass der Kunde – abhängig von seiner Nutzung des Online-Dienstes oder der professionellen Dienste – entscheiden kann, personenbezogene Daten von Personen einer der folgenden Kategorien von Betroffenen in die personenbezogenen Daten aufzunehmen:

• Mitarbeiter, Auftragnehmer und Zeitarbeitskräfte (aktuelle, ehemalige, potenzielle) des Datenexporteurs;

• Kooperationspartner/Kontaktpersonen (natürliche Personen) des Datenexporteurs oder Mitarbeiter, Auftragnehmer bzw. Zeitarbeitskräfte von juristischen Personen, die als Kooperationspartner/Kontaktpersonen fungieren (aktuelle, potenzielle, ehemalige);

• Nutzer und sonstige betroffene Personen, die Nutzer der Dienste des Datenexporteurs sind;

• Partner, Stakeholder oder Einzelpersonen, die aktiv mit Mitarbeitern des Datenexporteurs zusammenarbeiten, kommunizieren oder anderweitig interagieren und/oder Kommunikationstools – wie etwa vom Datenexporteur bereitgestellte Apps und Websites – nutzen.

Kategorien der übermittelten personenbezogenen Daten:

Die übermittelten personenbezogenen Daten, die in E-Mails, Dokumenten und anderen Daten in elektronischer Form im Rahmen der Online-Dienste oder der professionellen Dienste enthalten sind. GitHub erkennt an, dass der Kunde – abhängig von seiner Nutzung des Online-Dienstes oder der professionellen Dienste – entscheiden kann, personenbezogene Daten aus einer der folgenden Kategorien in die personenbezogenen Daten aufzunehmen:

• Grundlegende personenbezogene Daten (zum Beispiel Geburtsort, Straßenname und Hausnummer (Anschrift), Postleitzahl, Wohnort, Wohnsitzland, Mobilfunknummer, Vorname, Nachname, Initialen, E-Mail-Adresse, Geschlecht, Geburtsdatum);

• Authentifizierungsdaten (zum Beispiel Benutzername, Passwort oder PIN-Code, Sicherheitsfrage, Audit-Trail);

• Kontaktinformationen (z. B. Adressen, E-Mail-Adressen, Telefonnummern, Social-Media-Kennungen; Notfallkontaktdaten);

• pseudonyme Kennungen;

• Gerätekennungen (z. B. IMEI-Nummer, SIM-Karten-Nummer, MAC-Adresse); oder

• sonstige personenbezogene Daten, die in Artikel 4 der DSGVO aufgeführt sind.

Übermittelte sensible Daten (sofern zutreffend) sowie angewandte Beschränkungen oder Schutzvorkehrungen, die der Art der Daten und den damit verbundenen Risiken vollumfänglich Rechnung tragen – wie beispielsweise eine strikte Zweckbindung, Zugangsbeschränkungen (einschließlich eines Zugangs nur für Personal, das eine spezielle Schulung absolviert hat), die Protokollierung des Datenzugriffs, Beschränkungen für die Weitergabe der Daten oder zusätzliche Sicherheitsmaßnahmen:

GitHub fordert keine sensiblen Daten an und bittet auch auf sonstige Weise nicht um solche; das Unternehmen erhält derartige Daten lediglich dann, wenn Kunden oder betroffene Personen beschließen, diese bereitzustellen.

Die Häufigkeit der Übermittlung (z. B. ob die Daten einmalig oder fortlaufend übertragen werden):

Fortlaufend im Rahmen der Online-Dienste oder professionellen Dienste.

Art der Verarbeitung:

Die übermittelten personenbezogenen Daten unterliegen den folgenden grundlegenden Verarbeitungstätigkeiten:

• Dauer und Gegenstand der Datenverarbeitung. Die Dauer der Datenverarbeitung entspricht der Laufzeit, die im anwendbaren GitHub-Kundenvertrag zwischen dem Datenexporteur und dem Datenimporteur festgelegt ist. Der Zweck der Datenverarbeitung ist die Erbringung von Online-Diensten und professionellen Diensten.

• Zugriff auf personenbezogene Daten. Für die in der jeweiligen GitHub-Kundenvereinbarung festgelegte Laufzeit wird der Datenimporteur nach seiner Wahl und soweit dies nach geltendem Recht erforderlich ist, entweder: (1) dem Datenexporteur die Möglichkeit geben, personenbezogene Daten zu berichtigen, zu löschen oder zu sperren, oder (2) diese Berichtigungen, Löschungen oder Sperrungen in seinem Auftrag vornehmen.

• Anweisungen für den Datenexporteur. Im Hinblick auf Online-Dienste und professionelle Dienste handelt der Datenimporteur ausschließlich gemäß den Anweisungen des Datenexporteurs sowie der Vereinbarung.

Zweck(e) der Datenübermittlung und Weiterverarbeitung:

Umfang und Zweck der Verarbeitung personenbezogener Daten sind in den Abschnitten 2 und 3 der DPA („Umfang“ und „Verarbeitungsrollen“) beschrieben. Die Verarbeitung kann in jeder Gerichtsbarkeit erfolgen, in der der Datenimporteur oder seine Unterauftragsverarbeiter entsprechende Einrichtungen betreiben, in Übereinstimmung mit Abschnitt 7 zu Datenübermittlungen und Standorten.

Die Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer:

Nach Ablauf oder Beendigung der Nutzung der Online-Dienste oder der professionellen Dienste durch den Datenexporteur kann dieser personenbezogene Daten extrahieren, und der Datenimporteur wird die personenbezogenen Daten löschen – jeweils gemäß den für die Vereinbarung geltenden Bestimmungen der Datenverarbeitungsvereinbarung (DPA).

Geben Sie bei Übermittlungen an (Unter-)Auftragsverarbeiter zudem Gegenstand, Art und Dauer der Verarbeitung an:

Gemäß der DPA darf der Datenimporteur andere Unternehmen beauftragen, in seinem Namen begrenzte Dienstleistungen zu erbringen, wie etwa die Bereitstellung von Kundensupport. Solchen Unterauftragnehmern ist es gestattet, personenbezogene Daten ausschließlich zum Zweck der Erbringung derjenigen Dienste zu erlangen, mit denen der Datenimporteur sie beauftragt hat; die Nutzung personenbezogener Daten für andere Zwecke ist ihnen untersagt. Sofern ein bestimmter Unterauftragnehmer nicht vorzeitig ersetzt wird, erfolgt die Verarbeitung für die Dauer, die im Rahmen der geltenden GitHub-Kundenvereinbarung zwischen dem Datenexporteur und dem Datenimporteur festgelegt ist.

C. ZUSTÄNDIGE AUFSICHTSBEHÖRDE

MODUL EINS: VERANTWORTLICHER ZU VERANTWORTLICHER

MODUL ZWEI: VERANTWORTLICHER ZU AUFTRAGSVERARBEITER

MODUL DREI: AUFTRAGSVERARBEITER ZU AUFTRAGSVERARBEITER

Die Aufsichtsbehörde, die für die Sicherstellung der Einhaltung der Verordnung (EU) 2016/679 durch den Datenexporteur zuständig ist.

DPA Anhang 2

Anhang II zu den Standardvertragsklauseln (EU/EWR)

MODUL EINS: VERANTWORTLICHER ZU VERANTWORTLICHER

MODUL ZWEI: VERANTWORTLICHER ZU AUFTRAGSVERARBEITER

MODUL DREI: AUFTRAGSVERARBEITER ZU AUFTRAGSVERARBEITER

A. TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN, EINSCHLIESSLICH TECHNISCHER UND ORGANISATORISCHER MASSNAHMEN ZUR GEWÄHRLEISTUNG DER DATENSICHERHEIT

Beschreibung der vom/von den Datenimporteur(en) implementierten technischen und organisatorischen Maßnahmen (einschließlich etwaiger relevanter Zertifizierungen) zur Gewährleistung eines angemessenen Sicherheitsniveaus unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen.

1. Zertifizierungen für Datensicherheit: Der Datenimporteur verfügt über die folgenden Datensicherheitszertifizierungen, soweit zutreffend:

   1. SOC 1, Typ 2;

   2. SOC 2, Typ 2; und

   3. ISO 27001:2013.

2. Personal. Das Personal des Datenimporteurs wird personenbezogene Daten nicht unbefugt verarbeiten. Das Personal ist verpflichtet, die Vertraulichkeit solcher personenbezogenen Daten zu wahren; diese Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

3. Kontakt für Datenschutzfragen. Der Datenschutzbeauftragte des Datenimporteurs ist unter dpo@github.com sowie unter der folgenden Anschrift erreichbar: GitHub, Inc. Attn: Privacy, 88 Colin P. Kelly Jr. Street, San Francisco, California 94107 USA.

4. Technische und organisatorische Maßnahmen. GitHub implementiert und unterhält die in der nachstehenden Tabelle 1 aufgeführten technischen und organisatorischen Maßnahmen sowie Sicherheitsvorkehrungen für die Verarbeitung personenbezogener Daten des Kunden im Auftrag und gemäß den Weisungen des Kunden im Zusammenhang mit den Online-Diensten. Diese Maßnahmen stellen in Verbindung mit den Sicherheitszusagen in diesem DPA die alleinige Verantwortung von GitHub in Bezug auf die Sicherheit dieser Daten dar.

5. Anbietermanagementprogramm – Programm zum Management von Drittparteienrisiken. Der Datenimporteur verfügt über einen Prozess zur Risikobewertung von Anbietern, Vertragsklauseln für Anbieter sowie zusätzliche Datenschutzvereinbarungen mit Anbietern. Anbieter werden einer erneuten Bewertung unterzogen, wenn ein neuer geschäftlicher Anwendungsfall angefragt wird. Das Anbieterrisikoprogramm des Datenimporteurs ist so strukturiert, dass die Risikobewertungen aller Anbieter des Datenimporteurs zwei Jahre nach dem Datum der letzten Überprüfung aktualisiert werden. Als risikoreich eingestufte Anbieter – wie etwa Rechenzentrumsbetreiber oder sonstige Dienstleister, die Daten speichern oder verarbeiten, welche den regulatorischen oder vertraglichen Anforderungen des Datenimporteurs unterliegen – werden jährlich einer erneuten Bewertung unterzogen.

Tabelle 1: Technische und organisatorische Maßnahmen

DPA Anhang 3

Anhang III zu den Standardvertragsklauseln (EU/EWR)

MODUL ZWEI: VERANTWORTLICHER ZU AUFTRAGSVERARBEITER

MODUL DREI: AUFTRAGSVERARBEITER ZU AUFTRAGSVERARBEITER

Die Parteien stützen sich auf die allgemeine Genehmigung gemäß Klausel 9a der Standardvertragsklauseln (EU/EWR). Die Liste der Unterauftragsverarbeiter finden Sie auf der GitHub-Website unter https://github.com/github-subprocessors-list.

DPA Anhang 4

Anhang IV zu den Standardvertragsklauseln (EU/EWR)

Zusatzvereinbarung zu zusätzlichen Schutzmaßnahmen: Diese Zusatzvereinbarung zu den Standardvertragsklauseln („Zusatzvereinbarung“) von GitHub bietet zusätzliche Schutzmaßnahmen sowie Rechtsbehelfe für betroffene Personen im Zusammenhang mit den personenbezogenen Daten der Kunden. Sie ergänzt die Standardvertragsklauseln, ändert diese jedoch nicht ab.

I. Anfechtung von Anordnungen: Erhält GitHub eine Anordnung, die die Offenlegung personenbezogener Daten verlangt, welche im Rahmen der Standardvertragsklauseln übermittelt wurden, so wird GitHub:

a. die betreffende dritte Partei darauf verweisen, die Daten beim Kunden anzufordern;

b. den Kunden informieren, sofern dies nicht gesetzlich untersagt ist, und sich dabei um eine Aufhebung dieses Verbots bemühen;

c. die Offenlegungsanordnung auf dem Rechtsweg anfechten.

II. Entschädigung von betroffenen Personen:' GitHub stellt eine betroffene Person für Schäden frei, die durch die Offenlegung ihrer Daten durch GitHub auf Anordnung einer staatlichen Stelle außerhalb der EU/des EWR verursacht wurden.

a. Keine Verpflichtung zur Entschädigung:

i. Sofern die betroffene Person bereits eine Entschädigung für denselben Schaden erhalten hat, besteht für GitHub keine Verpflichtung zur Entschädigung.

ii. Sofern GitHub nachweisen kann, dass die Offenlegung nicht gegen Kapitel V der DSGVO verstoßen hat, besteht für GitHub keine Verpflichtung zur Entschädigung.

b. Voraussetzungen für die Entschädigung: Die Entschädigung setzt voraus, dass die betroffene Person nachweist, dass:

i. GitHub die Daten offengelegt hat;

ii. dies zu einem offiziellen Verfahren gegen GitHub geführt hat; und

iii. die Offenlegung unmittelbar einen Schaden verursacht hat.

c. Umfang des Schadensersatzes: Die Freistellung deckt ausschließlich Schäden ab, die in der DSGVO definiert sind; Folgeschäden sowie sonstige Schäden, die nicht auf einen Verstoß von GitHub gegen die DSGVO zurückzuführen sind, sind hiervon ausgenommen.

III. Ausübung von Rechten: Betroffene Personen können ihre Rechte gemäß diesem Zusatz gegen GitHub geltend machen, ungeachtet etwaiger Beschränkungen in den Standardvertragsklauseln. Ansprüche müssen individuell sein, dürfen nicht Teil einer Sammelklage sein und sind nicht übertragbar.

IV. Mitteilung über Änderungen: GitHub gewährleistet, dass die geltenden Rechtsvorschriften, denen es unterliegt, es ihm ermöglichen, die Verpflichtungen gemäß diesem Zusatz und den Standardvertragsklauseln zu erfüllen. Sollte eine rechtliche Änderung eintreten, die diese Verpflichtungen berührt, wird GitHub den Kunden benachrichtigen; dieser kann daraufhin die Datenübermittlung aussetzen oder den Vertrag kündigen.

V. Beendigung: Diese Zusatzvereinbarung endet, sofern ein anderer rechtmäßiger Übermittlungsmechanismus genehmigt wird, der die Datenübermittlungen im Rahmen der Standardvertragsklauseln abdeckt und diese zusätzlichen Schutzmaßnahmen 'nicht erfordert.

Version: Oktober 2025