DATENVERARBEITUNGSVEREINBARUNG

Diese Datenverarbeitungsvereinbarung („DPA“) wird zwischen Patsnap (UK) Ltd, im Namen ihrer selbst und ihrer verbundenen Unternehmen, einem im Vereinigten Königreich eingetragenen Unternehmen mit Sitz in Building 3 Chiswick Business Park, 566 Chiswick High Road, London, England, W4 5YA („Patsnap“), und dem unterzeichnenden Unternehmen („Kunde“) geschlossen. Diese DPA tritt an dem Tag in Kraft, an dem die entsprechende Vereinbarung von beiden Parteien ordnungsgemäß unterzeichnet wurde. Mit der Unterzeichnung dieser DPA schließt der Kunde diese DPA im eigenen Namen und, soweit dies nach dem Datenschutzgesetz erforderlich ist, im Namen seiner verbundenen Unternehmen ab. Großgeschriebene Begriffe, die hier nicht anderweitig definiert sind, haben die in Abschnitt 1 festgelegte Bedeutung.

WIE DIESE DATENSCHUTZERKLÄRUNG GELTET

Diese DPA ist nur gültig und rechtsverbindlich, wenn der Kunde: (a) Partei einer Vereinbarung ist, gemäß der Patsnap ein Datenverarbeiter oder Verantwortlicher für personenbezogene Daten im Sinne der DSGVO und/oder ein Dienstleister im Sinne des CCPA ist; und (b) ein Datenverantwortlicher ist, auf den Artikel 3 der DSGVO Anwendung findet, oder ein Unternehmen im Sinne des CCPA ist. Diese DPA ist Bestandteil einer solchen Vereinbarung. Wenn zwischen den Parteien mehrere Vereinbarungen bestehen, gilt für jede Vereinbarung eine separate Instanz dieser DPA.

1. DEFINITIONEN

„Vereinbarung“bezeichnet jede Vereinbarung zwischen Patsnap und dem Kunden oder zwischen dem Kunden und einem von Patsnap autorisierten Partner, gemäß der Produkte von Patsnap und/oder einem von Patsnap autorisierten Partner bereitgestellt werden, soweit Patsnap personenbezogene Daten im Rahmen einer solchen Vereinbarung zwischen dem Kunden und einem solchen von Patsnap autorisierten Partner verarbeitet.

„CCPA“bezeichnet den California Consumer Privacy Act von 2018.

„Verantwortlicher“,„betroffene Person“,„personenbezogene Daten“,„Verarbeitung“,„Verarbeiter“und„Aufsichtsbehörde“haben dieselbe Bedeutung wie in der DSGVO.„Unternehmen“und„Dienstleister“haben dieselbe Bedeutung wie im CCPA.

„Kundenpersonenbezogene Daten“bezeichnet personenbezogene Daten, die in ein Produkt oder auf die Plattform hochgeladen und/oder von Kunden an Patsnap übermittelt oder anderweitig Patsnap zur Verfügung gestellt werden und von Patsnap und/oder seinen Unterauftragsverarbeitern (wie nachstehend definiert) zum Zwecke der Bereitstellung der Produkte für Kunden verarbeitet werden, mit Ausnahme der in Abschnitt 2.4(b) beschriebenen personenbezogenen Daten.

„Datenschutzgesetz“bezeichnet die DSGVO, die britische DSGVO, den CCPA, den Data Protection Act 2018, alle geltenden nationalen Datenschutzgesetze und -vorschriften sowie alle Gesetze und Vorschriften der Europäischen Union und/oder des Europäischen Wirtschaftsraums („EWR“) oder anderer Länder, soweit sie für die Verarbeitung personenbezogener Daten im Rahmen der Vereinbarung gelten, in ihrer jeweils gültigen Fassung.

„DSGVO“bezeichnet die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr.

„Verletzung des Schutzes personenbezogener Daten“bezeichnet eine Sicherheitsverletzung, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Kundendaten führt, die von Patsnap gemäß dieser DPA verarbeitet werden.

„Plattform“bezeichnet die Webanwendung (Web-App) von Patsnap und die Datenbank von Patsnap, bei der es sich um eine organisierte Sammlung strukturierter Daten handelt, die elektronisch auf einem Remote-Server gespeichert sind und über unsere Webanwendung abgerufen werden können.„Produkte“bezeichnet die Patsnap-Dienstleistungen und -Produkte, die vom Kunden in einer Vereinbarung bestellt, abonniert oder lizenziert wurden, einschließlich Software, technischer Support und professionelle Dienstleistungen, wie in der jeweiligen Vereinbarung festgelegt.

„Standardvertragsklauseln“oder„Klauseln“bezeichnet die Standardvertragsklauseln auf der Grundlage des Beschlusses (EU) 2021/915 der Kommission über Standardvertragsklauseln oder alle Klauseln, die diese durch einen Beschluss der Europäischen Kommission oder durch einen Beschluss einer anderen befugten Stelle ändern, ersetzen oder ablösen.

„UK-DSGVO“bezeichnet die DSGVO, wie sie in die Gesetze des Vereinigten Königreichs übernommen wurde.

„UK IDTA“bezeichnet die Standarddatenschutzklauseln, die vom britischen Information Commissioner’s Office gemäß Abschnitt 119A(1) des britischen Datenschutzgesetzes von 2018 herausgegeben wurden.

2. DATENVERARBEITUNG

2.1 Rollen der Parteien. Die Parteien erkennen an und vereinbaren, dass in Bezug auf die Verarbeitung personenbezogener Daten des Kunden der Kunde der Verantwortliche und Patsnap der Auftragsverarbeiter ist und dass Patsnap gemäß den in Abschnitt 4 unten aufgeführten Anforderungen Auftragsverarbeiter bzw. Unterauftragsverarbeiter beauftragen wird.

2.2 Die Parteien erkennen an und vereinbaren, dass Patsnap in Bezug auf die Verarbeitung anderer Kategorien personenbezogener Daten als unabhängiger Verantwortlicher für diese personenbezogenen Daten handeln kann.

2.3 Die Bestimmungen in Abschnitt 2.5 dieser DPA gelten für die Verarbeitung personenbezogener Daten durch Patsnap sowohl als Verantwortlicher als auch als Auftragsverarbeiter von personenbezogenen Kundendaten. Die Bestimmungen in den Abschnitten 2.6 bis 8 dieser DPA gelten nur für die Verarbeitung personenbezogener Kundendaten durch Patsnap als Auftragsverarbeiter.

2.4 Die Parteien vereinbaren, dass sie die für sie in ihren Funktionen geltenden Datenschutzgesetze einhalten, die wie folgt auszulegen sind:

(a) Jede Partei ist für die Verarbeitung der personenbezogenen Daten verantwortlich, die die für die Verwaltung der Geschäftsbeziehung erforderlichen geschäftlichen Kontaktdaten der anderen Partei umfassen.

(b) Der Kunde erkennt an, dass Patsnap ein Verantwortlicher für die Anmeldedaten der Benutzer ist, die verarbeitet werden, um einen sicheren Zugang zur Plattform zu gewährleisten. Darüber hinaus hat Patsnap in Bezug auf alle personenbezogenen Daten, die bereits auf der Plattform kompromittiert wurden oder über die Plattform zugänglich sind (z. B. Namen im Zusammenhang mit Patentanmeldungen), diese Daten als unabhängiger Verantwortlicher erfasst und zusammengestellt.

(c) Patsnap ist der Auftragsverarbeiter und der Kunde ist der Verantwortliche für alle personenbezogenen Daten des Kunden.

2.5 Verarbeitung personenbezogener Daten. Jede Partei verarbeitet personenbezogene Daten im Zusammenhang mit dieser Vereinbarung in allen wesentlichen Punkten gemäß den Anforderungen des geltenden Datenschutzrechts. In Bezug auf personenbezogene Daten des Kunden ist der Kunde allein verantwortlich für die Richtigkeit, Qualität und Rechtmäßigkeit dieser personenbezogenen Daten sowie für die Mittel, mit denen der Kunde personenbezogene Daten erfasst und an Patsnap übermittelt hat.

2.6 Verarbeitung personenbezogener Daten des Kunden durch Patsnap. Als Auftragsverarbeiter des Kunden verarbeitet Patsnap personenbezogene Daten des Kunden ausschließlich zu folgenden Zwecken: (a) Verarbeitung gemäß der Vereinbarung; (b)Verarbeitung, die vom Kunden oder seinen autorisierten Benutzern bei der Nutzung der Produkte initiiert wurde; und (c) Verarbeitung zur Einhaltung anderer angemessener dokumentierter Anweisungen des Kunden (z. B. per E-Mail oder über das Support-Portal), die mit den Bestimmungen der Vereinbarung übereinstimmen (einzeln und gemeinsam als„Zweck”bezeichnet). Patsnap informiert den Kunden unverzüglich, sobald Patsnap Kenntnis davon erlangt, dass eine vom Kunden erteilte Anweisung nach Ansicht von Patsnap gegen geltendes Datenschutzrecht verstößt.

2.7 Einzelheiten der Verarbeitung. Der Zweck, die Art und der Gegenstand der Verarbeitung personenbezogener Daten von Kunden durch Patsnap sind in Abschnitt 2.6 unter „Zweck“ beschrieben. Die Dauer der Verarbeitung, die Arten/Kategorien personenbezogener Daten und die Kategorien der betroffenen Personen, deren Daten im Rahmen dieser DPA verarbeitet werden, sind in Anhang A (Einzelheiten der Verarbeitung) zu dieser DPA näher spezifiziert.

3. RECHTE DER BETROFFENEN PERSONEN

3.1 Patsnap wird, soweit gesetzlich zulässig, den Kunden unverzüglich benachrichtigen, wenn Patsnap Anfragen von einer betroffenen Person erhält, die folgenden individuellen Rechte gemäß dem Datenschutzgesetz in Bezug auf die personenbezogenen Daten des Kunden auszuüben, die Patsnap als Auftragsverarbeiter des Kunden verarbeitet:

(a) Recht auf Zugang;

(b) Recht auf Berichtigung;

(d) Löschung;

(e) Datenübertragbarkeit;

(f) Widerspruch gegen die Verarbeitung; und

(g) Recht, keiner automatisierten individuellen Entscheidungsfindung unterworfen zu werden

(jeweils eine„Anfrage einer betroffenen Person“), jeweils nur in dem Umfang, in dem diese individuellen Rechte gemäß den geltenden Datenschutzgesetzen für eine betroffene Person gelten. Unter Berücksichtigung der Art der Verarbeitung unterstützt Patsnap den Kunden, soweit diese Unterstützung für die Erfüllung der Verpflichtung des Kunden, auf eine Anfrage einer betroffenen Person zu reagieren, wirtschaftlich angemessen ist. Soweit der Kunde bei der Nutzung der Produkte nicht in der Lage ist, einer Anfrage einer betroffenen Person angemessen nachzukommen, wird Patsnap auf schriftliche Anfrage des Kunden wirtschaftlich angemessene Anstrengungen unternehmen, um den Kunden bei der Beantwortung einer solchen Anfrage einer betroffenen Person zu unterstützen, soweit dies Patsnap gesetzlich gestattet ist und die Beantwortung einer solchen Anfrage einer betroffenen Person nach geltendem Datenschutzrecht erforderlich ist. Soweit gesetzlich zulässig, trägt der Kunde alle Kosten, die Patsnap durch die Bereitstellung dieser Unterstützung entstehen, einschließlich der Kosten oder Gebühren im Zusammenhang mit der Bereitstellung zusätzlicher Funktionen.

4 Unterverarbeiter

4.1 Einsatz von Unterauftragsverarbeitern. Der Kunde erkennt an und stimmt zu, dass Patsnap unter bestimmten Umständen zur Erbringung von Dienstleistungen Unterauftragsverarbeiter einsetzen kann, darunter auch verbundene Unternehmen von Patsnap („Unterauftragsverarbeiter“). Der Kunde stimmt der Nutzung bestehender Unterauftragsverarbeiter durch Patsnap zu. Patsnap informiert den Kunden über die Beauftragung neuer Unterauftragsverarbeiter und teilt ihm die Einzelheiten der durchzuführenden Verarbeitung mit. Der Kunde hat nach Erhalt dieser Mitteilung 30 Tage Zeit, um Patsnap schriftlich über etwaige Einwände (aus triftigen Gründen) gegen die vorgeschlagene Beauftragung zu informieren. Nach Erhalt einer solchen Mitteilung arbeiten die Parteien gemeinsam an einer für beide Seiten akzeptablen Lösung. Zur Klarstellung: Wenn Patsnap unter bestimmten Umständen Subunternehmer von Drittanbietern mit der Verarbeitung von personenbezogenen Daten des Kunden beauftragt, um Dienstleistungen zu erbringen, beschränkt Patsnap die Verarbeitung ausschließlich auf die Erfüllung der in dieser DPA festgelegten Zwecke und die Verbesserung seiner Dienstleistungen und verpflichtet sich, personenbezogene Daten des Kunden nicht an Dritte zu verkaufen, weiterzugeben oder in anderer Weise mit Dritten zu teilen.

4.2 Haftung für Unterauftragsverarbeiter.

Patsnap wird:

(a) mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung abschließen, deren Bestimmungen den Schutz der personenbezogenen Daten des Kunden nicht weniger gewährleisten als die Bestimmungen dieser DPA; und

(b) für die Handlungen und Unterlassungen seiner Unterauftragsverarbeiter in demselben Umfang haftbar sein, wie Patsnap haftbar wäre, wenn es die Dienstleistungen jedes dieser Unterauftragsverarbeiter direkt gemäß den Bestimmungen dieser DPA erbringen würde.

5. SICHERHEIT

Patsnap ergreift geeignete technische und organisatorische Maßnahmen, um die Sicherheit, Vertraulichkeit und Integrität der personenbezogenen Daten des Kunden vor einer Verletzung des Schutzes personenbezogener Daten gemäß Anhang B zu schützen. Diese Maßnahmen berücksichtigen den Stand der Technik, die Kosten der Umsetzung sowie die Art, den Umfang, den Kontext und die Zwecke der Verarbeitung sowie das Risiko für die Rechte und Freiheiten natürlicher Personen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. Patsnap überwacht regelmäßig die Einhaltung dieser technischen und organisatorischen Maßnahmen und kann sie von Zeit zu Zeit ändern, sofern Patsnap mindestens ein gleichwertiges Schutzniveau aufrechterhält. Auf schriftliche Anfrage des Kunden stellt Patsnap eine aktualisierte Beschreibung der technischen und organisatorischen Maßnahmen von Patsnap, soweit zutreffend, in der in Anhang B dargestellten Form zur Verfügung. Alle Mitarbeiter von Patsnap, die personenbezogene Daten des Kunden verarbeiten, werden in Bezug auf ihre Verpflichtungen zum Datenschutz, zur Sicherheit und zur Vertraulichkeit angemessen geschult und unterliegen einer schriftlichen Verpflichtung zur Wahrung der Vertraulichkeit.

6. VERWALTUNG UND MELDUNG VON VORFÄLLEN IM ZUSAMMENHANG MIT PERSONENBEZOGENEN DATEN

Patsnap benachrichtigt den Kunden unverzüglich, nachdem es das Auftreten einer Verletzung des Schutzes personenbezogener Daten in Bezug auf personenbezogene Daten des Kunden bestätigt hat. Patsnap leistet wirtschaftlich angemessene Zusammenarbeit und Unterstützung bei der Ermittlung der Ursache der Verletzung des Schutzes personenbezogener Daten und ergreift wirtschaftlich angemessene Maßnahmen, um die Auswirkungen der Verletzung des Schutzes personenbezogener Daten zu mindern und die Ursache zu beheben, soweit diese Behebung im Einflussbereich von Patsnap liegt. Sofern nicht durch geltende Datenschutzgesetze vorgeschrieben, gilt dies nicht für Verletzungen des Schutzes personenbezogener Daten, die durch den Kunden, vom Kunden autorisierte Nutzer und/oder Produkte oder Dienstleistungen verursacht werden, die nicht von Patsnap bereitgestellt werden.

7. RÜCKGABE UND LÖSCHUNG VON PERSONENBEZOGENEN DATEN DER KUNDEN

Bei Beendigung des Vertrags löscht Patsnap die personenbezogenen Daten des Kunden gemäß den Bestimmungen dieses Vertrags und unter Einhaltung der geltenden Datenschutzgesetze aus seinen Systemen. Ist eine sofortige Löschung nicht möglich (z. B. weil einige Daten archiviert oder in Sicherungsdateien gespeichert sind), stellt Patsnap sicher, dass nach Beendigung des Vertrags keine weitere Verarbeitung dieser Daten erfolgt, und löscht sie so schnell wie möglich, spätestens jedoch 45 Tage nach Beendigung des Vertrags. Patsnap kann eine Kopie aller personenbezogenen Daten des Kunden aufbewahren, die gemäß den gesetzlichen Bestimmungen für die Dauer der geltenden Aufbewahrungsfrist aufzubewahren sind, beispielsweise zum Zwecke der Prüfung von Finanzunterlagen.

8. EU-SPEZIFISCHE BESTIMMUNGEN

8.1 Unterstützung. Patsnap verarbeitet personenbezogene Daten des Kunden gemäß den Anforderungen der DSGVO, die direkt für die Bereitstellung der an den Kunden verkauften, lizenzierten oder bereitgestellten Produkte durch Patsnap gelten. Auf schriftliche Anfrage des Kunden leistet Patsnap dem Kunden wirtschaftlich angemessene Unterstützung und Hilfe, die zur Erfüllung der Verpflichtungen des Kunden gemäß der DSGVO erforderlich ist, um Folgendes durchzuführen:

(a) eine Datenschutz-Folgenabschätzung in Bezug auf die Nutzung der Produkte durch den Kunden; und

(b) eine vorherige Konsultation einer Aufsichtsbehörde, sofern der Kunde noch keinen Zugang zu den relevanten Informationen hat, Patsnap jedoch Zugang zu den relevanten Informationen hat und die Datenschutz-Folgenabschätzung oder vorherige Konsultation gemäß dem Datenschutzgesetz erforderlich ist.

8.2 Internationale Datenübermittlungen. Der Kunde erkennt an und stimmt zu, dass unabhängig vom Speicherort der personenbezogenen Daten des Kunden diese in andere Rechtsordnungen (auch außerhalb des EWR) übermittelt werden können:

(a) um technischen Support und Kundendienst, Kontoverwaltung, Rechnungsstellung und andere damit verbundene Funktionen bereitzustellen, und

(b) wie ausdrücklich in der Vereinbarung oder dieser DPA beschrieben. Patsnap darf personenbezogene Daten des Kunden nicht in ein Land außerhalb des EWR übertragen (oder die Verarbeitung personenbezogener Daten des Kunden in oder aus einem solchen Land zulassen), es sei denn, es werden die erforderlichen Maßnahmen getroffen, um sicherzustellen, dass die Übertragung im Einklang mit den geltenden Datenschutzgesetzen erfolgt. Wenn personenbezogene Daten des Kunden von einem Auftragsverarbeiter innerhalb des EWR an einen Auftragsverarbeiter außerhalb des EWR in einem beliebigen Land übertragen werden:

(i) von der Europäischen Kommission nicht als Land anerkannt sind, das ein angemessenes Schutzniveau für personenbezogene Daten von Kunden bietet (wie in den geltenden Datenschutzgesetzen beschrieben); und

(ii) nicht durch einen geeigneten Rahmen abgedeckt sind, der von den zuständigen Behörden oder Gerichten als ein angemessenes Schutzniveau für personenbezogene Daten von Kunden anerkannt ist, gelten für eine solche Übermittlung alle erforderlichen lokalen Übermittlungsmechanismen, einschließlich der Standardvertragsklauseln, der britischen IDTA und/oder anderer Mechanismen oder Änderungen, die nach lokalem Recht erforderlich sind.

8.3 Audits. Patsnap gestattet Audits in Form von Informations- und/oder Dokumentenanfragen durch den Kunden zum Nachweis der Einhaltung seiner Verpflichtungen in Bezug auf die Verarbeitung personenbezogener Daten des Kunden durch Patsnap und leistet dazu einen Beitrag, jedoch nicht häufiger als einmal jährlich, es sei denn, das Verhalten von Patsnap stellt einen Verstoß gegen diese DPA dar und erfordert daher zusätzliche Informationen, die vom Kunden angefordert werden müssen.

9. BESONDERE BESTIMMUNGEN FÜR KALIFORNIEN

9.1 CCPA. Dieser Abschnitt 9 gilt für die Verarbeitung personenbezogener Daten durch Patsnap, die dem CCPA unterliegen.

9.2 Zulässige Nutzung. Patsnap darf personenbezogene Daten nicht für andere Zwecke als den Zweck oder wie anderweitig durch den CCPA zulässig speichern, verwenden oder offenlegen, einschließlich der Speicherung, Verwendung oder Offenlegung der personenbezogenen Daten für andere kommerzielle Zwecke als die Bereitstellung der in der Vereinbarung festgelegten Dienste.

9.3 Patsnap darf die personenbezogenen Daten des Kunden nicht im Sinne des Begriffs „verkaufen“ gemäß CCPA verkaufen.

10. ALLGEMEINES

10.1 Laufzeit und Kündigung. Diese DPA bleibt in Kraft, bis (i) sie durch gegenseitige Vereinbarung zwischen dem Kunden und Patsnap ersetzt oder aufgehoben wird oder (ii) die Verarbeitung der personenbezogenen Daten des Kunden und der personenbezogenen Daten beendet wird oder ausläuft.

10.2 Änderungen. Änderungen dieser DPA sind nur gültig, wenn sie schriftlich erfolgen und von beiden Parteien unterzeichnet sind.

10.3 Haftung. Alle Ansprüche, die im Rahmen dieser DPA geltend gemacht werden, unterliegen denselben Bedingungen, einschließlich der Haftungsausschlüsse und -beschränkungen, wie sie in der Vereinbarung festgelegt sind. Die Gesamthaftung von Patsnap und seinen verbundenen Unternehmen für alle Ansprüche des Kunden, die sich aus oder im Zusammenhang mit der Vereinbarung und dieser DPA ergeben, gilt insgesamt für alle Ansprüche sowohl aus der Vereinbarung als auch aus dieser DPA und übersteigt nicht die vom Kunden in den letzten zwölf (12) Monaten gezahlten Gebühren.

10.4 Geltendes Recht.

(a) Die Parteien dieser DPA unterwerfen sich hiermit der in der Vereinbarung festgelegten Gerichtsbarkeit in Bezug auf alle Streitigkeiten oder Ansprüche, die sich aus dieser DPA ergeben, einschließlich Streitigkeiten über deren Bestehen, Gültigkeit oder Beendigung oder die Folgen ihrer Nichtigkeit; und

(b) Diese DPA und alle außervertraglichen oder sonstigen Verpflichtungen, die sich aus ihr oder in Verbindung mit ihr ergeben, unterliegen den Gesetzen des Landes oder Gebiets, das zu diesem Zweck in der Vereinbarung festgelegt ist.

10.5 Ausfertigungen. Diese DPA kann in beliebig vielen Ausfertigungen ausgefertigt werden, von denen jede als Original gilt und die zusammen ein einziges Dokument bilden. Diese DPA kann in elektronischer Form (z. B. als PDF) übermittelt werden, und elektronische Kopien der ausgefertigten Unterschriftenseiten sind wie Originale verbindlich.

10.6 Gesamte Vereinbarung. Diese DPA bildet zusammen mit der Vereinbarung die gesamte Vereinbarung zwischen den Parteien und ersetzt alle anderen früheren oder gleichzeitigen Vereinbarungen oder Bedingungen, ob schriftlich oder mündlich, bezüglich der Verarbeitung von personenbezogenen Daten des Kunden durch Patsnap im Auftrag des Kunden. Im Falle von Widersprüchen oder Unstimmigkeiten zwischen dieser DPA und der Vereinbarung gilt die folgende Rangfolge, soweit Widersprüche oder Unstimmigkeiten bestehen:

(a) diese DPA; und

(b) die Vereinbarung.

10.7 Salvatorische Klausel. Sollte eine Bestimmung dieser DPA von einem zuständigen Gericht für nicht durchsetzbar befunden werden, wird diese Bestimmung gestrichen, und die übrigen Bestimmungen bleiben in vollem Umfang in Kraft.

Anlage A
Details zur Verarbeitung

Dauer der Verarbeitung personenbezogener Kundendaten:

Während der Laufzeit des Plattformabonnements und bis zu drei Monate nach Ablauf des Abonnements, danach werden die Daten durch kryptografisches Löschen vernichtet. Begrenzte grundlegende personenbezogene Daten wie Vertragsunterzeichner und Vertragskontakte werden zu Buchhaltungszwecken auf unbestimmte Zeit gespeichert.

Die Kategorien der personenbezogenen Daten von Kunden:

1) Personenbezogene Daten: Name, E-Mail-Adresse, geschäftliche Telefonnummer, IP-Adresse.

2) Daten, die in unserer Webanwendung generiert und/oder gespeichert werden. 2.1) Listen-Metadaten: Daten darüber, welche Patente vom Kunden zusammen gespeichert werden. 2.2) Benutzerdefinierte Patent-Metadaten: Anmerkungen, Kommentare oder benutzerdefinierte Kategorisierung der gespeicherten Patentdaten. Bitte beachten Sie, dass Patsnap das Hosten von Dokumenten oder den Import von nicht öffentlich zugänglichen Patentinformationen nicht zulässt. Wenn Sie ein Patent in Patsnap importieren, gleichen wir lediglich die Patentnummer mit einem bereits vorhandenen Patenteintrag in unserer Datenbank ab.

3) Angesehene Patente, Suchanfragen, durchgeführte Analysen.

Die Kategorien der von Patsnap verarbeiteten Daten:

1) Mitarbeiter von Kunden, die registrierte und autorisierte Nutzer der Patsnap-Plattform sind

2) Mitarbeiter von Kunden, die vom Kunden als Ansprechpartner für Patsnap für die Kontoverwaltung und Rechnungsstellung benannt wurden

Anlage B
Technische und organisatorische Maßnahmen von Patsnap

1. EINLEITUNG

Dieses Dokument zu technischen und organisatorischen Datensicherheitsmaßnahmen beschreibt die technischen und organisatorischen Sicherheitsmaßnahmen, die von Patsnap zur Unterstützung seines Sicherheitsrahmens umgesetzt werden.

2. ZUGANGSKONTROLLE

2.1 ZUGANGSKONTROLLE VON VERARBEITUNGSBEREICHEN (PHYSISCH)

Die Webanwendungen, Kommunikations- und Datenbankserver von Patsnap befinden sich in sicheren Rechenzentren. Patsnap hat geeignete Maßnahmen getroffen, um zu verhindern, dass Unbefugte Zugang zu den Datenverarbeitungsgeräten (Telefone, Datenbanken, Anwendungsserver und zugehörige Hardware) erhalten, auf denen personenbezogene Daten verarbeitet oder verwendet werden. Dazu gehören diefolgenden Maßnahmen:

• Einrichtung von Sicherheitsbereichen.

• Schutz und Beschränkung von Zugriffspfaden.

• Sicherung der Datenverarbeitungsgeräte und PCs.

• Festlegung von Zugriffsberechtigungen für Mitarbeiter und Dritte, einschließlich der entsprechenden Dokumentation.

• Vorschriften und Einschränkungen für Schlüsselkarten und Schlüsselanhänger.

• Beschränkung des physischen Zugangs zu den Servern durch verschlossene Türen und separate Käfige innerhalb der Colocation-Einrichtungen.

• Der Zugang zum Rechenzentrum, in dem personenbezogene Daten gespeichert sind, wird protokolliert, überwacht und verfolgt mittels elektronischer und CCTV-Videoüberwachung und/oder elektronischer Ausweise mit Fotos der Benutzer.

2.2 ZUGRIFFSKONTROLLE AUF DATENVERARBEITUNGSSYSTEME (LOGISCH)

Patsnap hat geeignete Maßnahmen getroffen, um zu verhindern, dass seine Datenverarbeitungssysteme von Unbefugten genutzt werden. Dazu gehören unter anderem:

• Feststellung der Identität des mit den Patsnap-Systemen verbundenen Geräts und/oder der Nutzer dieser Systeme.

• Automatisches Ablaufen der Sitzung, wenn eine Admin-Benutzerverbindung inaktiv bleibt, was bedeutet, dass zur Wiederaufnahme eine Identifizierung und ein Passwort erforderlich sind.

• Automatische Sperrung der Admin-Benutzer-ID nach mehreren falschen Passworteingaben.

• Ereignisse werden protokolliert und die Protokolle regelmäßig überprüft.

• Einsatz von Firewalls, Routern und VPN-basierten Zugriffskontrollen zum Schutz der privaten Servicenetzwerke und Backend-Server.

• Kontinuierliche Überwachung der Infrastruktursicherheit.

• Regelmäßige Überprüfung der Sicherheitsrisiken durch interne Mitarbeiter und externe Prüfer.

• Rollenbasierte Zugriffskontrolle, die im Einklang mit dem Prinzip der geringsten Privilegien implementiert wurde.

• Der Fernzugriff auf die von Patsnap gehostete Netzwerkinfrastruktur wird durch eine Zwei-Faktor-Authentifizierung gesichert.

• Der Zugriff auf Host-Server, Anwendungen, Datenbanken, Router, Switches usw. wird protokolliert.

• Anfragen zum Zugriff und zur Kontoverwaltung müssen über interne Genehmigungssysteme eingereicht werden.

• Der Zugriff muss von einer zuständigen Genehmigungsinstanz genehmigt werden. In den meisten Fällen sind für die Genehmigung eines Antrags mindestens zwei Genehmigungen erforderlich: die des Vorgesetzten des Mitarbeiters und die des Genehmigers oder „Eigentümers” für das jeweilige System oder die jeweilige interne Anwendung.

• Passwörter müssen den Passwortrichtlinien von Patsnap entsprechen, die Mindestlängenanforderungen, Komplexitätsanforderungen und regelmäßige Neufestsetzungen umfassen.

Patsnap unterhält Intrusion Prevention Systeme (IPS), Intrusion Detection Systeme (IDS) und Security Incident and Event Management (SIEM)-Systeme.

2.3 ZUGANGSKONTROLLE FÜR DIE NUTZUNG BESTIMMTER BEREICHE VON DATENVERARBEITUNGSSYSTEMEN

Personen, die zur Nutzung des Datenverarbeitungssystems berechtigt sind, können nur im Rahmen und im Umfang ihrer jeweiligen Zugriffsberechtigung (Autorisierung) auf personenbezogene Daten zugreifen, und diese personenbezogenen Daten können ohne Autorisierung nicht gelesen, kopiert, geändert oder entfernt werden.

• Mitarbeiterrichtlinien und Schulungen hinsichtlich der Zugriffsrechte jedes Mitarbeiters auf personenbezogene Daten.

• Patsnap-Benutzer verfügen über eindeutige Anmeldedaten, und der Zugriff auf bestimmte Funktionen wird durch rollenbasierte Zugriffskontrollen eingeschränkt.

• Wirksame und angemessene Disziplinarmaßnahmen gegen Personen, die ohne Genehmigung auf personenbezogene Daten zugreifen.

• Kontrolle des Zugriffs auf Kontodaten und personenbezogene Daten von Kunden über rollenbasierte Zugriffskontrollen (RBAC) in Übereinstimmung mit dem Sicherheitsprinzip „Least Privilege“.

• Interne Segmentierung und logische Isolierung der Mitarbeiter von Patsnap zur Durchsetzung von Richtlinien für den Zugriff mit geringsten Rechten.

• Autorisierung von Zugriffsrechten durch den Systembesitzer sowie Überwachung und Protokollierung.

• Laufende Überprüfung von Konten und Berechtigungen (in der Regel alle 2–4 Monate, je nach dem jeweiligen System und der Sensibilität der Daten, auf die es Zugriff gewährt).

• Kontrollierte und dokumentierte Vernichtung von Daten.

• Entwickler haben Zugriff auf fiktive Testdaten.

3. VERFÜGBARKEITSKONTROLLE

Patsnap hat geeignete Maßnahmen getroffen, um sicherzustellen, dass personenbezogene Daten vor versehentlicher Zerstörung oder Verlust geschützt sind.

• Globale und redundante Service-Infrastruktur, die mit vollständigen Disaster-Recovery-Standorten eingerichtet ist.

• Kontinuierliche Bewertung von Rechenzentren und Internetdienstanbietern (ISPs), um die Leistung für seine Kunden in Bezug auf Bandbreite, Latenz und Isolierung bei der Notfallwiederherstellung zu optimieren.

• Unterbringung von Rechenzentren in sicheren Colocation-Einrichtungen, die ISP-carrier-neutral sind und physische Sicherheit, redundante Stromversorgung und Infrastrukturredundanz bieten.

• Service Level Agreements von Rechenzentrumsanbietern und Internetdienstanbietern, um ein hohes Maß an Verfügbarkeit zu gewährleisten.

• Patsnap unterhält Standorte für die vollständige Wiederherstellung nach Katastrophen (Disaster Recovery, DR) und testet jährlich seinen DR-Plan.

4. GETRIEBESTEUERUNG

Patsnap hat geeignete Maßnahmen getroffen, um zu verhindern, dass personenbezogene Daten während der Übertragung oder während des Transports der Datenträger von Unbefugten gelesen, kopiert, verändert oder gelöscht werden können.

• Einsatz geeigneter Firewall- und Verschlüsselungstechnologien zum Schutz der Gateways und Pipelines, über die die Daten übertragen werden.

• Sensible personenbezogene Daten werden während der Übertragung mit aktuellen Versionen von TLS und/oder anderen Sicherheitsprotokollen (HTTPS) unter Verwendung starker Verschlüsselungsalgorithmen und Schlüssel verschlüsselt.

• End-to-End-Verschlüsselung der Bildschirmfreigabe für Fernzugriff, Support und Echtzeitkommunikation.

• Einsatz von Integritätsprüfungen zur Überwachung der Vollständigkeit und Richtigkeit der Datenübertragung (z. B. SFTP).

5. EINGABEKONTROLLE

Patsnap hat geeignete Maßnahmen getroffen, um sicherzustellen, dass überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben oder daraus entfernt wurden.

• Authentifizierung des autorisierten Personals.

• Trennung und Schutz aller gespeicherten personenbezogenen Daten durch Datenbankschemata, logische Zugriffskontrollen und/oder Verschlüsselung.

• Verwendung von Benutzeridentifikationsdaten.

• Physische Sicherheit von Datenverarbeitungsanlagen.

• Zeitüberschreitungen bei Sitzungen.

6. TRENNUNG DER VERARBEITUNG FÜR UNTERSCHIEDLICHE ZWECKE

Patsnap hat geeignete Maßnahmen getroffen, um sicherzustellen, dass personenbezogene Daten, die für unterschiedliche Zwecke erhoben werden, getrennt verarbeitet werden können. Personenbezogene Daten dürfen nur für den Zweck verwendet werden, für den sie ursprünglich erhoben wurden.

7. DOKUMENTATION

Patsnap dokumentiert technische und organisatorische Maßnahmen für den Fall von Audits und zur Aufbewahrung von Beweismitteln. Patsnap unternimmt angemessene Schritte, um sicherzustellen, dass seine Mitarbeiter und andere Personen am Arbeitsplatz die in diesem Dokument dargelegten technischen und organisatorischen Maßnahmen kennen und einhalten. Patsnap kann nach eigenem Ermessen nicht vertrauliche Teile von Auditberichten seinen Kunden zur Verfügung stellen, um die Einhaltung der in diesem Dokument beschriebenen technischen und organisatorischen Maßnahmen zu überprüfen.

8. ÜBERWACHUNG

Patsnap greift nicht auf personenbezogene Daten des Kunden zu, außer um dem Kunden Dienstleistungen zu erbringen, zu denen Patsnap gesetzlich verpflichtet ist, um die Kundenerfahrung zu unterstützen, oder auf Wunsch des Kunden. Patsnap hat geeignete Maßnahmen getroffen, um die Zugriffsbeschränkungen der Systemadministratoren von Patsnap zu überwachen und sicherzustellen, dass diese gemäß den erhaltenen Anweisungen handeln.

Dies wird erreicht durch:

• Individuelle Ernennung von Systemadministratoren.

• Ergreifen geeigneter Maßnahmen, um die Zugriffsprotokolle der Systemadministratoren auf die Infrastruktur zu registrieren und diese für einen angemessenen Zeitraum sicher, korrekt und unverändert aufzubewahren.

• Regelmäßige Überprüfungen der Aktivitäten von Systemadministratoren, um die Einhaltung der zugewiesenen Aufgaben zu bewerten.

9. DEFINITIONEN

„Patsnap“ bezeichnet Patsnap (UK) Ltd und alle ihre direkten und indirekten Tochtergesellschaften.

„Kunde“ bezeichnet jeden Käufer eines Angebots von Patsnap.

„Personenbezogene Daten“ sind alle Informationen, die sich direkt oder indirekt auf eine identifizierte oder identifizierbare natürliche Person beziehen.

„Sicherheitsrahmenwerk“ bezieht sich auf die Gesamtheit der Richtlinien und Verfahren von Patsnap zur Regelung der Informationssicherheit, einschließlich, aber nicht beschränkt auf Richtlinien, Schulungen, Aufklärung, Überwachung, Untersuchung und Durchsetzung seiner Datenmanagement- und Sicherheitsmaßnahmen.