Nachtrag zur Datenverarbeitung OneStock

Zuletzt aktualisiert: 3. November 2025

Dieser Nachtrag zur Datenverarbeitung einschließlich seiner Anhänge (zusammen der „DPA“) ist Bestandteil der Vereinbarung zwischen dem im jeweiligen Bestellformular genannten OneStock (OneStock) und dem im entsprechenden Bestellformular genannten Kunden („Kunde“), in der auf diesen DPA Bezug genommen wird (die „Vereinbarung“).

Diese Datenschutzvereinbarung tritt mit dem Datum des Inkrafttretens der Vereinbarung oder mit der Unterzeichnung des letzten Bestellformulars durch den Kunden oder einer anderen elektronischen oder von beiden Parteien unterzeichneten schriftlichen Vereinbarung zwischen den Parteien in Kraft.

1. Datenverarbeitung

1.1 Beschreibung der Datenverarbeitung. Die Art der gemäß dieser DPA verarbeiteten personenbezogenen Daten sowie Gegenstand, Dauer, Art und Zweck der Verarbeitung und die Kategorien der betroffenen Personen sind in Anhang 1 dieser DPA beschrieben.

1.2 Geltungsbereich und Rolle. Die Parteien erkennen an und vereinbaren, dass im Hinblick auf die Verarbeitung personenbezogener Daten bei der Erbringung der Dienstleistungen im Rahmen des Vertrags der Kunde und/oder seine verbundenen Unternehmen der für die Datenverarbeitung Verantwortliche sind, während OneStock Auftragsverarbeiter OneStock .

1.3 Pflichten des Kunden. Der Kunde hat bei der Nutzung der Dienste personenbezogene Daten gemäß den Anforderungen der Datenschutzgesetze zu verarbeiten. Die Anweisungen des Kunden zur Verarbeitung personenbezogener Daten müssen den Datenschutzgesetzen entsprechen, einschließlich etwaiger geltender Anforderungen, die betroffenen Personen über die Nutzung von OneStock Auftragsverarbeiter zu informieren. Der Kunde trägt die alleinige Verantwortung für die Richtigkeit, Qualität und Rechtmäßigkeit der personenbezogenen Daten sowie für die Art und Weise, wie der Kunde die personenbezogenen Daten erlangt hat. Der Kunde hat sicherzustellen, dass er berechtigt ist, die betreffenden personenbezogenen Daten an OneStock zu übermitteln OneStock OneStock seine Unterauftragsverarbeiter die personenbezogenen Daten im Namen des Kunden und seiner verbundenen Unternehmen rechtmäßig gemäß dieser DPA und der Vereinbarung nutzen, verarbeiten und übermitteln können.

1.4 Pflichten OneStock. OneStock personenbezogene Daten gemäß den Anforderungen der Datenschutzgesetze, die für die Erfüllung seiner Verpflichtungen im Rahmen dieser DPA gelten, einschließlich:

• 1.4.1 OneStock personenbezogene Daten ausschließlich in Übereinstimmung mit dem Vertrag und dieser DPA. Mit dem Abschluss des Vertrags beauftragt der Kunde OneStock personenbezogene Daten für folgende Zwecke OneStock verarbeiten: (i) Verarbeitung gemäß dem Vertrag, dem geltenden Bestellformular und sonstigen elektronischen oder einvernehmlich unterzeichneten schriftlichen Vereinbarungen, wozu die Aktualisierung der Plattform sowie die Vermeidung oder Behebung von dienstleistungsbezogenen oder technischen Problemen gehört; (ii) Verarbeitung, die von den Nutzern des Kunden bei deren Nutzung der Plattform initiiert wird; und (iii) Verarbeitung zur Einhaltung anderer angemessener Anweisungen des Kunden, sofern diese Anweisungen mit den Bestimmungen des Vertrags vereinbar sind. Diese DPA und der Vertrag stellen die dokumentierten Anweisungen an OneStock die Verarbeitung personenbezogener Daten dar.
• 1.4.2 OneStock personenbezogene Daten als vertrauliche Informationen und OneStock , dass jede von OneStock zur Verarbeitung personenbezogener Daten befugte Person sich zu ähnlichen Vertraulichkeitsverpflichtungen wie denen, zu denen OneStock in der Vereinbarung OneStock , bereit erklärt hat oder diesen unterliegt.
• 1.4.3 OneStock den Kunden auf dessen Anfrage und sofern dies nach den Datenschutzgesetzen erforderlich OneStock seiner Verpflichtungen im Zusammenhang mit Datenschutz-Folgenabschätzungen (soweit diese die Dienste betreffen und nur insoweit, als der Kunde anderweitig keinen Zugang zu den relevanten Informationen hat und diese Informationen OneStock zur Verfügung stehen) sowie bei der vorherigen Konsultation der Aufsichtsbehörde, sofern dies gemäß der EU-DSGVO und der UK-DSGVO erforderlich ist.

2. Dauer

2.1 Diese Datenschutzvereinbarung bleibt bis zum späteren der folgenden Zeitpunkte in Kraft: (i) dem Ablauf oder der Kündigung der Vereinbarung; und (b) der Rückgabe oder Löschung der personenbezogenen Daten.

3. Sicherheit

3.1 Sicherheit. OneStock ein umfassendes Informationssicherheitsprogramm einführen und aufrechterhalten, das darauf ausgelegt ist, personenbezogene Daten vor versehentlicher oder unrechtmäßiger Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff zu schützen, sofern diese Maßnahmen angemessen sind im Hinblick auf (a) die Größe, den Umfang und die Art der Geschäftstätigkeit OneStock; (b) die OneStock zur Verfügung stehenden Ressourcen; (c) der Art der Informationen, die OneStock ; und (d) der Notwendigkeit der Sicherheit und Vertraulichkeit dieser Informationen („zusammenfassend als OneStock bezeichnet). OneStock sind in Anhang 2 dieser DPA dargelegt. OneStock regelmäßig die Einhaltung dieser Sicherheitsvorkehrungen.

3.2 Benachrichtigung bei Datenschutzverletzungen. Soweit gesetzlich zulässig und vorgeschrieben, OneStock den Kunden unverzüglich schriftlich, sobald OneStock in angemessener Weise Kenntnis von einer Sicherheitsverletzung erlangt hat, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten führt („Datenschutzverletzung“). Eine solche Benachrichtigung beschreibt, soweit dies nach den geltenden Datenschutzgesetzen zulässig und erforderlich ist, (i) die Art der Verletzung des Schutzes personenbezogener Daten, einschließlich, sofern bekannt, der Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze; (b) die Maßnahmen, OneStock ergriffen OneStock oder zu ergreifen beabsichtigt, um auf die Verletzung des Schutzes personenbezogener Daten zu reagieren und deren Auswirkungen zu mindern; (c) alle Maßnahmen, OneStock dem Kunden OneStock , um auf die Verletzung des Schutzes personenbezogener Daten zu reagieren; und (d) Informationen bezüglich des Ansprechpartners OneStockim Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten. Falls OneStock alle oben genannten Informationen in der ersten Benachrichtigung bereitstellen OneStock , OneStock dem Kunden die Informationen zur Verfügung stellen, sobald sie verfügbar sind.

3.3 Prüfung.
3.3.1 OneStock externe Prüfer, um die Angemessenheit seiner Sicherheitsmaßnahmen im Zusammenhang mit der Verarbeitung personenbezogener Daten zu überprüfen. Diese Prüfungen werden mindestens einmal jährlich auf Kosten OneStockvon unabhängigen externen Sicherheitsexperten durchgeführt, die nach dem Ermessen OneStockausgewählt werden.

3.3.2 Der Kunde kann eine Prüfung von OneStock verlangen, OneStock die Einhaltung der Bestimmungen dieser DPA OneStock OneStock überprüfen, sofern eine solche Prüfung nach den Datenschutzgesetzen erforderlich ist und die Einhaltung OneStocknicht auf eine für OneStock weniger belastende Weise nachgewiesen werden kann OneStock einschließlich gemäß Abschnitt 3.3.1). Eine solche Prüfung wird nicht öfter als einmal innerhalb eines Zeitraums von 12 Monaten durchgeführt, es sei denn, dies wird von einer zuständigen Aufsichtsbehörde verlangt, und zwar auf der Grundlage der folgenden Anforderungen: (1) Der Kunde muss OneStock benachrichtigen; (2) nach Erhalt einer solchen Benachrichtigung OneStock der Kunde und OneStock einvernehmlich den Umfang, den Zeitpunkt und die Dauer der Prüfung sowie den Erstattungssatz, für den der Kunde aufzukommen hat; (3) Jede Prüfung unterliegt den in der Vereinbarung festgelegten oder anderweitig schriftlich zwischen den Parteien vereinbarten Vertraulichkeitsverpflichtungen; (4) der Kunde erstattet OneStock für eine solche Vor-Ort-Prüfung aufgewendete Zeit OneStock den jeweils aktuellen Sätzen OneStock professionelle Dienstleistungen OneStock, die dem Kunden auf Anfrage zur Verfügung gestellt werden. Alle Erstattungssätze müssen unter Berücksichtigung der von OneStock aufgewendeten Ressourcen angemessen sein; (5) Jede Prüfung muss während der normalen Geschäftszeiten vom Kunden oder einem unabhängigen, externen Prüfer des Kunden, der kein Wettbewerber von OneStock ist, durchgeführt werden und sich auf die für den Kunden relevanten Daten beschränken; (6) Der Kunde hat OneStock unverzüglich OneStock alle im Rahmen einer Prüfung festgestellten Verstöße OneStock informieren.

4. Unterauftragsverarbeiter

4.1 Beauftragung von Unterauftragsverarbeitern. Der Kunde erteilt eine schriftliche allgemeine Genehmigung dafür, dass (a) verbundene Unternehmen OneStockals Unterauftragsverarbeiter beauftragt werden dürfen und (b) OneStock im Zusammenhang mit der Erbringung der Dienste Unterauftragsverarbeiter von Drittanbietern beauftragen OneStock .

4.2 Nennung von Unterauftragsverarbeitern. OneStock eine aktuelle Liste der Unterauftragsverarbeiter, die unter www.onestock-retail/en/legals/subprocessors/ abrufbar OneStock (die „Liste der Unterauftragsverarbeiter“). OneStock die Liste der Unterauftragsverarbeiter mit allen neu zu ernennenden oder ersetzenden Unterauftragsverarbeitern mindestens dreißig (30) Tage vor dem Datum, an dem ein neuer oder ersetzender Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten beginnt. Die Liste der Unterauftragsverarbeiter enthält eine Funktion, über die der Kunde Benachrichtigungen über neue und ersetzende Unterauftragsverarbeiter abonnieren kann. Der Kunde kann sich anmelden, um per E-Mail über solche Änderungen in der Liste der Unterauftragsverarbeiter informiert zu werden.

4.3 Einwände gegen Unterauftragsverarbeiter. Falls der Kunde Einwände gegen einen solchen neuen Unterauftragsverarbeiter hat, kann er der Nutzung eines neuen Unterauftragsverarbeiters OneStockwidersprechen, indem er OneStock innerhalb von zehn (10) Tagen nach dem Datum, an OneStock seine Liste der Unterauftragsverarbeiter aktualisiert OneStock , schriftlich benachrichtigt. In dieser Mitteilung sind die angemessenen Gründe für den Widerspruch darzulegen. Nach Erhalt einer solchen Mitteilung OneStock angemessene Anstrengungen unternehmen, um dem Kunden eine Änderung der Dienste zur Verfügung zu stellen oder eine wirtschaftlich angemessene Änderung der Konfiguration oder Nutzung der Dienste durch den Kunden zu empfehlen, um die Verarbeitung personenbezogener Daten durch den beanstandeten neuen Unterauftragsverarbeiter zu vermeiden, ohne den Kunden unangemessen zu belasten. OneStock nicht OneStock eine solche Änderung innerhalb einer angemessenen Frist, die dreißig (30) Tage nicht überschreiten darf, bereitzustellen, kann der Kunde innerhalb dieser Frist die betreffenden Bestellformulare mit sofortiger Wirkung kündigen, und zwar ausschließlich in Bezug auf jene Dienste, die OneStock den Einsatz des beanstandeten neuen Unterauftragsverarbeiters nicht erbringen kann, indem er OneStock schriftlich darüber in Kenntnis setzt. Nach einer solchen Kündigung OneStock dem Kunden alle im Voraus gezahlten Gebühren für die verbleibende Laufzeit der betreffenden Bestellformulare ab dem Datum des Inkrafttretens der Kündigung in Bezug auf die gekündigten Dienste, ohne dem Kunden eine Vertragsstrafe für diese Kündigung aufzuerlegen.

4.4 Anforderungen an Unterauftragsverarbeiter. OneStock mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung ab, die Datenschutzverpflichtungen enthält, die denen in dieser DPA entsprechen. OneStock für Handlungen und Unterlassungen seiner Unterauftragsverarbeiter, die im Zusammenhang mit der Erfüllung dieser DPA OneStockerfolgen, in demselben Umfang, wie OneStock haften OneStock , wenn es die Dienstleistungen selbst erbringen würde.

5. Anträge betroffener Personen

5.1 OneStock den Kunden, soweit gesetzlich zulässig, unverzüglich benachrichtigen, wenn OneStock Anträge von einer betroffenen Person auf Ausübung der folgenden Rechte OneStock : Auskunft, Berichtigung, Einschränkung der Verarbeitung, Löschung („Recht auf Vergessenwerden“), Datenübertragbarkeit, Widerspruch gegen die Verarbeitung oder das Recht, keiner automatisierten individuellen Entscheidungsfindung unterworfen zu werden (jeweils ein „Antrag einer betroffenen Person“). Unter Berücksichtigung der Art der Verarbeitung OneStock den Kunden durch geeignete technische und organisatorische Maßnahmen, soweit dies vernünftigerweise möglich ist, bei der Erfüllung der Verpflichtung des Kunden, auf einen Antrag einer betroffenen Person gemäß den geltenden Datenschutzgesetzen zu reagieren. Darüber hinaus OneStock , soweit der Kunde bei der Nutzung der Dienste nicht in der Lage ist, auf einen Antrag einer betroffenen Person einzugehen, auf Anfrage des Kunden wirtschaftlich angemessene Anstrengungen unternehmen, um den Kunden bei der Beantwortung eines solchen Antrags einer betroffenen Person zu unterstützen, soweit dies OneStock gesetzlich gestattet OneStock und die Beantwortung eines solchen Antrags einer betroffenen Person nach den geltenden Datenschutzgesetzen erforderlich ist.

6. Rückgabe und Vernichtung von Daten

6.1 Gemäß den Bestimmungen des Vertrags OneStock bei Kündigung oder Ablauf des Vertrags alle Kopien der Kundendaten in den Systemen OneStockoder die sich anderweitig im Besitz oder unter der Kontrolle OneStockbefinden, löschen oder vernichten, sofern dies nicht gesetzlich untersagt ist.

7. Datenübermittlungen

Anweisungen. Die Parteien vereinbaren, dass die Übermittlung personenbezogener Daten an OneStock einer geltenden Angemessenheitsentscheidung unterliegen, keinen gesonderten genehmigten Übermittlungsmechanismus erfordert. OneStock eine Übermittlung personenbezogener Daten an OneStock keiner geltenden Angemessenheitsentscheidung (eine „eingeschränkte Übermittlung“), erfolgt die eingeschränkte Übermittlung gemäß den folgenden Bestimmungen:

7.1 Erfolgt eine eingeschränkte Übermittlung aus dem EWR oder der Schweiz, werden die Standardvertragsklauseln durch Verweis in diese Datenschutzvereinbarung aufgenommen und gelten für die Übermittlung wie folgt:

• 7.1.1 Modul 2 findet Anwendung, wenn der Kunde der Verantwortliche und OneStock der Auftragsverarbeiter OneStock
• 7.1.2 In Ziffer 7 der SCCs findet die fakultative Abzugsklausel keine Anwendung;
• 7.1.3 In Ziffer 9 Buchstabe a der SCCs gilt Option 2 gemäß den Bestimmungen in Abschnitt 4 dieser DPA;
• 7.1.4 In Ziffer 11 Buchstabe a der SCCs findet die fakultative Formulierung keine Anwendung;
• 7.1.5 In Ziffer 17 der SCCs gilt Option 1, wobei das anwendbare Recht das französische Recht ist;
• 7.1.6 Gemäß Ziffer 18(b) der SCCs sind Streitigkeiten vor den Gerichten in Toulouse, Frankreich, zu entscheiden;
• 7.1.7 Anhang 1 der SCCs wird durch die Angaben in Anhang 1 dieser DPA ergänzt;
• 7.1.8 Anhang 2 der SCCs wird durch die Angaben in Anhang 2 dieser DPA ergänzt;
• 7.1.9 Anhang 3 der SCCs wird mit den Angaben aus der Liste der Unterauftragsverarbeiter ergänzt

7.2 Erfolgt eine eingeschränkte Übermittlung aus dem Vereinigten Königreich, wird der Zusatz zur Übermittlung aus dem Vereinigten Königreich durch Verweis in diese DPA aufgenommen und gilt für die Übermittlung wie folgt:

• 7.2.1 Der Zusatz für das Vereinigte Königreich wird durch die Angaben in Abschnitt 7.1.1, die Liste der Unterauftragsverarbeiter sowie die Anhänge 1 und 2 dieser DPA ergänzt;
• 7.2.2 In Tabelle 4 sind sowohl „Importeur“ als auch „Exporteur“ ausgewählt

7.3 Besondere Anwendungsfälle der SCCs. Für die SCCs gelten die folgenden Bestimmungen:

• 7.3.1 Der Kunde kann seine Prüfungsrechte gemäß den Standardvertragsklauseln (SCCs) ausüben, wie in Abschnitt 3.3 dieser DPA dargelegt
• 7.3.2 OneStock im Rahmen der Standardvertragsklauseln (SCCs) gemäß Abschnitt 4 dieser DPA Unterauftragsverarbeiter beauftragen
• 7.3.3 In Bezug auf eingeschränkte Übermittlungen an OneStock OneStock weder selbst an einer weiteren eingeschränkten Übermittlung teilnehmen noch einem Unterauftragsverarbeiter die Teilnahme daran gestatten, es sei denn, die weitere eingeschränkte Übermittlung erfolgt unter vollständiger Einhaltung der Datenschutzgesetze und in Übereinstimmung mit den geltenden Standardvertragsklauseln (SCCs) oder einem alternativen, rechtskonformen Übermittlungsmechanismus.

8. Haftung

8.1 Diese DPA unterliegt den zwischen den Parteien im Rahmen des Vertrags vereinbarten Haftungsbeschränkungen (wobei sich jeder Verweis auf die Haftung einer Partei auf diese Partei und ihre verbundenen Unternehmen insgesamt bezieht).

9. Allgemeines

• 9.1 In Bezug auf den Gegenstand dieser DPA haben im Falle von Widersprüchen zwischen den Bestimmungen dieser DPA und der Vereinbarung die Bestimmungen der folgenden Dokumente Vorrang (in der Reihenfolge ihrer Rangfolge): die SCCs; dann diese DPA; und schließlich die Vereinbarung.
• 9.2 Diese DPA unterliegt den Bestimmungen des Vertrags über das anwendbare Recht und den Gerichtsstand und ist entsprechend auszulegen, sofern die Datenschutzgesetze nichts anderes vorschreiben.
• 9.3 OneStock diese DPA zu ändern, wenn (i) die Änderung zur Einhaltung der Datenschutzgesetze erforderlich ist; oder (ii) die Änderung wirtschaftlich vertretbar ist, die Sicherheit der Dienste nicht wesentlich beeinträchtigt, den Umfang der Verarbeitung personenbezogener Daten OneStocknicht verändert und keine wesentlichen nachteiligen Auswirkungen auf die Rechte des Kunden gemäß dieser DPA hat.

10. Begriffsbestimmungen

Begriffe, die in dieser DPA oder der Vereinbarung nicht anderweitig definiert sind, haben folgende Bedeutung:

• 10.1 „Verantwortlicher“ bezeichnet die Stelle, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet
• 10.2 „Auftragsverarbeiter“ bezeichnet die Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet
• 10.3 „Datenschutzgesetze“ bezeichnet alle lokalen, bundesstaatlichen, nationalen und/oder ausländischen Gesetze, Verträge und/oder Vorschriften, einschließlich der EU-DSGVO und der britischen DSGVO sowie der Gesetze und Vorschriften der Schweiz und der Vereinigten Staaten und ihrer Bundesstaaten, die entweder für (i) OneStock seiner Rolle als Dienstleister, der Daten im Rahmen des Vertrags verarbeitet, oder (ii) den Kunden und seine verbundenen Unternehmen gelten, je nach Fall
• 10.4 „betroffene Person“ bezeichnet die identifizierte oder identifizierbare natürliche Person, auf die sich personenbezogene Daten beziehen
• 10.5 „EU-DSGVO“ bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)
• 10.6 „Personenbezogene Daten“ bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen und die vom oder für den Kunden an die Plattform übermittelt oder vom oder für den Kunden über die Plattform erhoben und verarbeitet wurden
• 10.7 „Verarbeitung“ bezeichnet jeden Vorgang oder jede Reihe von Vorgängen, die mit personenbezogenen Daten durchgeführt werden, unabhängig davon, ob dies automatisiert erfolgt oder nicht, wie beispielsweise das Erheben, Erfassen, Organisieren, Speichern, Anpassen oder Verändern, Abrufen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, Abgleichen oder Verknüpfen, Sperren, Löschen oder Vernichten
• 10.8 „Standardvertragsklauseln“ oder „SCCs“ bezeichnet (i) bei Anwendung der EU-DSGVO oder des Schweizer Bundesgesetzes über die Datenbearbeitung die Vertragsklauseln im Anhang zum Durchführungsbeschluss 2021/914 der Europäischen Kommission vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates („EU-SCCs“); und (ii) sofern die britische DSGVO gilt, Standarddatenschutzklauseln, die gemäß Artikel 46 der britischen DSGVO angenommen oder nach diesem Artikel zulässig sind („UK-SCCs“)
• 10.9 „Unterauftragsverarbeiter“ bezeichnet jeden Datenverarbeiter, den OneStock Verarbeitung personenbezogener Daten im Rahmen der Erbringung der Dienste beauftragt
• 10.10 „UK-DSGVO“ bezeichnet die EU-DSGVO, wie sie gemäß Abschnitt 3 des britischen Gesetzes über den Austritt aus der Europäischen Union (European Union (Withdrawal) Act) von 2018 in britisches Recht umgesetzt wurde.

ANHANG 1: ANGABEN ZUR VERARBEITUNG

A. PARTEIENVERZEICHNIS

B. BESCHREIBUNG DER DATENVERARBEITUNG UND -ÜBERMITTLUNG

C. ZUSTÄNDIGE AUFSICHTSBEHÖRDE

ANHANG 2: TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN, EINSCHLIESSLICH TECHNISCHER UND ORGANISATORISCHER MASSNAHMEN ZUR GEWÄHRLEISTUNG DER DATENSICHERHEIT

Die technischen und organisatorischen Sicherheitsmaßnahmen sind in OneStock für die Plattform geltenden OneStock festgelegt, die entweder dem Vertrag oder einer anderen elektronischen oder von den Parteien unterzeichneten schriftlichen Vereinbarung beigefügt sind.