Nachtrag zur Datenverarbeitung

Letzte Aktualisierung: 11. September 2025

Dieser Datenverarbeitungszusatz, einschließlich seiner Anhänge (zusammen der „DPA"), ist in jede Vereinbarung zwischen Tanium und seinen Kunden und Partnern für die Bereitstellung von Tanium-Diensten (die „Vereinbarung") einbezogen. Sofern in diesem DPA nicht ausdrücklich definiert, haben großgeschriebene Begriffe in diesem DPA die in der Vereinbarung festgelegte Bedeutung.

1. Definitionen.

a) „CCPA" bezeichnet den California Consumer Privacy Act, Cal. Civ. Code § 1798,100 et seq., in der durch den California Privacy Rights Act geänderten Fassung, sowie die dazu erlassenen Durchführungsbestimmungen.

b) „Personenbezogene Kundendaten" bezeichnet alle personenbezogenen Daten, die Tanium als Datenverarbeiter im Rahmen der Bereitstellung und der Nutzung der Tanium-Dienste durch den Kunden verarbeitet.

c) "Kunde" bezeichnet den Kunden oder Partner, der Vertragspartei der Vereinbarung ist.

d) "Datenschutzgesetze" bezeichnet alle Datenschutz- und Privatsphäregesetze, die auf die Verarbeitung personenbezogener Daten im Rahmen der Vereinbarung anwendbar sind, einschließlich, soweit zutreffend, der europäischen Datenschutzgesetze und des CCPA.

e) "Verantwortlicher" bezeichnet eine Einheit, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt.

f) "Auftragsverarbeiter" bezeichnet eine Einheit, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet, einschließlich, soweit zutreffend, eines „Dienstleisters" im Sinne des CCPA.

g) "Europäische Datenschutzgesetze" bezeichnet: (i) die Verordnung 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) (die „EU-DSGVO"); (ii) die EU-Datenschutzrichtlinie für elektronische Kommunikation (Richtlinie 2002/58/EG); (iii) die EU-DSGVO, wie sie durch Abschnitt 3 des britischen European Union (Withdrawal) Act 2018 in das Recht des Vereinigten Königreichs übernommen wurde (die „UK GDPR"); (iv) das Schweizer Bundesgesetz über den Datenschutz vom 19 June 1992 (das „Schweizer Datenschutzgesetz"); und (v) alle anwendbaren nationalen Datenschutzgesetze, die auf der Grundlage von oder in Verbindung mit einem der Punkte (i) bis (iv) erlassen wurden oder gelten; jeweils in der von Zeit zu Zeit geänderten oder ersetzten Fassung.

h) "Personenbezogene Daten" bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

i) „Verarbeitung" bezeichnet jeden Vorgang oder jede Reihe von Vorgängen, die mit oder ohne Hilfe automatisierter Verfahren an personenbezogenen Daten oder Gruppen von personenbezogenen Daten vorgenommen werden, wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; „verarbeiten", „verarbeitet" und „Verarbeitung" sind entsprechend auszulegen.

j) „Eingeschränkte Übermittlung" bezeichnet: (i) im Falle der Anwendbarkeit der EU-DSGVO eine Übermittlung personenbezogener Daten aus dem Europäischen Wirtschaftsraum in ein Land außerhalb des Europäischen Wirtschaftsraums, das keinem Angemessenheitsbeschluss der Europäischen Kommission unterliegt; (ii) im Falle der Anwendbarkeit der UK-DSGVO eine Übermittlung personenbezogener Daten aus dem Vereinigten Königreich in ein anderes Land, die nicht auf Angemessenheitsregelungen gemäß Abschnitt 17A des Datenschutzgesetzes des Vereinigten Königreichs 2018 beruht; und (iii) im Falle der Anwendbarkeit des Schweizer Datenschutzgesetzes eine Übermittlung personenbezogener Daten aus der Schweiz in ein anderes Land, für das der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte oder eine andere zuständige Schweizer Behörde kein angemessenes Datenschutzniveau festgestellt hat.

k) „Sicherheitsvorfall" bezeichnet eine Verletzung der Datensicherheit, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Kundendaten führt.

l) „Standardvertragsklauseln" bezeichnet die Vertragsklauseln des Moduls 2 (Verantwortlicher an Auftragsverarbeiter), die dem Durchführungsbeschluss 2021/914 der Europäischen Kommission vom 4 June 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates beigefügt sind, in der in Abschnitt 6,1 dieser DPA dargelegten Form.

m) „Unterauftragsverarbeiter" bezeichnet jeden Datenverarbeiter, der von Tanium beauftragt wird, um bei der Erfüllung seiner Verpflichtungen im Zusammenhang mit der Bereitstellung der Tanium-Dienste gemäß dem Vertrag zu unterstützen. Zu den Unterauftragsverarbeitern können Drittparteien oder verbundene Unternehmen von Tanium gehören.

n) „Tanium" bezeichnet die Tanium-Unternehmen, die Vertragspartei des Vertrags sind.

o) „Tanium Services" bezeichnet Software, die als gehosteter Tanium-Dienst bereitgestellt wird, sowie alle Support-Services für Tanium-Softwareprodukte.

p) „UK Addendum" bezeichnet das International Data Transfer Addendum zu den Standardvertragsklauseln der EU-Kommission (Version B1,0), das vom britischen Information Commissioner's Office am 21. März 2022 herausgegeben wurde.

2. Geltungsbereich dieser DPA. Diese DPA gilt dort und nur insoweit, als Tanium personenbezogene Daten von Kunden verarbeitet.

3. Verhältnis der Parteien. Im Verhältnis zwischen Tanium und dem Kunden ist der Kunde der Verantwortliche für die personenbezogenen Daten des Kunden. Tanium wird personenbezogene Daten des Kunden nur für die in dieser DPA und der Vereinbarung beschriebenen Zwecke und nur in Übereinstimmung mit den dokumentierten rechtmäßigen Anweisungen des Kunden verarbeiten. Die Parteien vereinbaren, dass diese DPA und die Vereinbarung die vollständigen und abschließenden Anweisungen des Kunden an Tanium in Bezug auf die Verarbeitung personenbezogener Daten des Kunden festlegen und jede Verarbeitung außerhalb des Rahmens dieser Anweisungen der vorherigen schriftlichen Zustimmung des Kunden bedarf.

4. Verarbeitung personenbezogener Daten durch den Kunden. Der Kunde erklärt sich damit einverstanden, dass er (i) seinen Verpflichtungen gemäß den Datenschutzgesetzen in Bezug auf die Verarbeitung personenbezogener Daten und alle Verarbeitungsanweisungen, die er an Tanium erteilt, nachkommen wird; und (ii) Benachrichtigungen bereitgestellt und alle gemäß den Datenschutzgesetzen erforderlichen Einwilligungen und Rechte eingeholt hat (oder einholen wird), damit Tanium personenbezogene Daten des Kunden verarbeiten und die Tanium-Services gemäß der Vereinbarung und dieser DPA erbringen kann.

5. Einzelheiten der Verarbeitung. Die Einzelheiten der Verarbeitung von personenbezogenen Daten der Kunden sind in Anlage 1 zu diesem DPA dargelegt.

6. Datenübermittlungen.

6,1. Wenn die Übermittlung von personenbezogenen Daten der Kunden eine eingeschränkte Übermittlung aus dem Europäischen Wirtschaftsraum darstellt, werden die Standardvertragsklauseln in dieses DPA einbezogen und gelten für die Übermittlung wie folgt:

a) Klausel 7 (Beitrittsklausel) – gilt nicht.

b) Klausel 9 (Einsatz von Unterauftragsverarbeitern) – Option 2 (Allgemeine schriftliche Genehmigung) gilt, und der Zeitraum ist in Abschnitt 9 dieses DPA festgelegt.

c) Klausel 11 (Rechtsbehelfe) – optionaler Wortlaut gilt nicht.

d) Klausel 17 (Anwendbares Recht) – Option 1 gilt, und das anwendbare Recht ist: (a) das Recht des im Vertrag angegebenen Landes, wenn der Vertrag dem Recht eines EU-Mitgliedstaats unterliegt; oder (b) das Recht der Niederlande, wenn der Vertrag dem Recht eines Nicht-EU-Mitgliedstaats unterliegt.

e) Klausel 18 (Gerichtsstand und Gerichtsbarkeit) – der anwendbare Gerichtsstand und die anwendbare Gerichtsbarkeit sind: (a) die Gerichte des im Vertrag angegebenen Landes, wenn der Vertrag dem Recht eines EU-Mitgliedstaats unterliegt; oder (b) die Gerichte der Niederlande, wenn der Vertrag dem Recht eines Nicht-EU-Mitgliedstaats unterliegt.

f) Die Einzelheiten der Anhänge I und II der Standardvertragsklauseln sind in Anlage 1 zu diesem DPA dargelegt.

6,2. Wenn die Übermittlung von personenbezogenen Kundendaten eine eingeschränkte Übermittlung aus dem Vereinigten Königreich darstellt, wird der UK-Nachtrag in diesen DPA einbezogen und gilt für die Übermittlung. Tabellen 1, 2 und 3 des UK-Nachtrags werden mit den Informationen in Abschnitt 6,1 oben und Anlage 1 zu diesem DPA ausgefüllt, und Tabelle 4 in Teil 1 des UK-Nachtrags wird durch Auswahl von „Importeur" ausgefüllt.

6,3. Wenn die Übermittlung von personenbezogenen Kundendaten eine eingeschränkte Übermittlung aus der Schweiz darstellt, werden die Standardvertragsklauseln in diesen DPA einbezogen und gelten für die Übermittlung in der in Abschnitt 6,1 oben geänderten Fassung, mit der Ausnahme, dass:

a) Verweise auf „Verordnung (EU) 2016/679” als Verweise auf das Schweizer Datenschutzgesetz ausgelegt werden.

b) Verweise auf bestimmte Artikel der „Verordnung (EU) 2016/679” durch den entsprechenden Artikel oder Abschnitt des Schweizer Datenschutzgesetzes ersetzt werden.

c) „Union" und „Mitgliedstaat" durch „Schweiz" ersetzt werden.

d) Verweise auf die „zuständige Aufsichtsbehörde" und „zuständige Gerichte" durch den „Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten" und „zuständige Gerichte der Schweiz" ersetzt werden.

e) Klausel 13(a) und Teil C von Anhang I nicht verwendet werden und die „zuständige Aufsichtsbehörde" der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist.

f) In Klausel 17 unterliegen die Standardvertragsklauseln dem Recht der Schweiz.

g) In Klausel 18 werden Streitigkeiten vor den zuständigen Gerichten der Schweiz beigelegt.

6,4. Soweit die Standardvertragsklauseln Anwendung finden, gilt:

a) Der Kunde wird seine Prüfungsrechte gemäß den Standardvertragsklauseln ausüben, wie in Abschnitt 14 dieser DPA dargelegt.

b) Vor Beginn einer eingeschränkten Übermittlung an einen Unterauftragsverarbeiter wird Tanium eine Vereinbarung mit einem Unterauftragsverarbeiter abschließen, die die Standardvertragsklauseln Modul Drei (Auftragsverarbeiter zu Auftragsverarbeiter) enthält, oder alternativ wird Tanium feststellen, dass der Unterauftragsverarbeiter über geeignete Garantien gemäß Artikeln 46 oder 47 der EU-DSGVO und/oder UK-DSGVO (soweit zutreffend) hinsichtlich der Verarbeitung durch den Unterauftragsverarbeiter verfügt.

c) Im Falle eines Konflikts zwischen dieser DPA und den Standardvertragsklauseln haben die Standardvertragsklauseln Vorrang.

7. Vertraulichkeit der Verarbeitung. Tanium wird sicherstellen, dass jede Person, die Tanium zur Verarbeitung personenbezogener Kundendaten autorisiert, die personenbezogenen Kundendaten in Übereinstimmung mit Taniums Vertraulichkeitsverpflichtungen gemäß der Vereinbarung schützt.

8. Sicherheit.

8,1. Verantwortlichkeiten von Tanium. Tanium wird geeignete technische und organisatorische Maßnahmen implementieren, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, wie in den Sicherheitsmaßnahmen unter https://help.tanium.com/bundle/ug_cloud_cloud/page/cloud/trust_compliance.html beschrieben, um personenbezogene Kundendaten vor einem Sicherheitsvorfall zu schützen. Tanium kann die Sicherheitsmaßnahmen von Zeit zu Zeit überprüfen und aktualisieren, vorausgesetzt, dass solche Aktualisierungen den allgemeinen Datenschutz oder die Sicherheit der personenbezogenen Kundendaten nicht wesentlich beeinträchtigen.

8,2. Pflichten des Kunden. Ungeachtet des Vorstehenden erklärt sich der Kunde damit einverstanden, dass er, sofern in dieser DPA nichts anderes vorgesehen ist, für die sichere Nutzung der Tanium-Dienste verantwortlich ist, einschließlich der Sicherung seiner Kontozugangsdaten, des Schutzes der Sicherheit personenbezogener Kundendaten bei der Übertragung zu und von den Tanium-Diensten sowie der Ergreifung geeigneter Maßnahmen zur sicheren Verschlüsselung oder Sicherung personenbezogener Kundendaten, die im Zusammenhang mit den Tanium-Diensten bereitgestellt werden.

9. Unterauftragsverarbeiter. Der Kunde erteilt Tanium eine allgemeine Genehmigung, Drittanbieter als Unterauftragsverarbeiter einzusetzen, um personenbezogene Kundendaten zu verarbeiten, vorausgesetzt, dass: (i) Tanium eine aktuelle Liste seiner Unterauftragsverarbeiter unter https://www.tanium.com/subprocessors („Unterauftragsverarbeiterliste") führt; (ii) Tanium jedem von ihm beauftragten Unterauftragsverarbeiter datenschutzrechtliche Bedingungen auferlegt, die ihn verpflichten, die personenbezogenen Kundendaten gemäß dem durch die geltenden Datenschutzgesetze geforderten Standard zu schützen; und (iii) Tanium für jeden Verstoß gegen diesen Vertrag haftet, der durch eine Handlung, einen Fehler oder eine Unterlassung seiner Unterauftragsverarbeiter verursacht wird. Die Unterauftragsverarbeiterliste enthält einen Mechanismus, um Benachrichtigungen über neue Unterauftragsverarbeiter zu abonnieren. Wenn der Kunde diesen abonniert, wird Tanium den Kunden vorab über jeden geplanten neuen Unterauftragsverarbeiter informieren, indem die Liste aktualisiert wird, bevor der neue Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Kundendaten beginnt. Der Kunde kann der Beauftragung oder dem Austausch eines Unterauftragsverarbeiters durch Tanium innerhalb von zehn (10) Tagen nach Zugang einer solchen Mitteilung, wie durch das Datum „Zuletzt aktualisiert" auf der Unterauftragsverarbeiterliste ersichtlich, widersprechen, sofern dieser Widerspruch auf sachlichen Gründen im Zusammenhang mit dem Schutz personenbezogener Kundendaten basiert und Tanium schriftlich in der im Vertrag vorgesehenen Weise mitgeteilt wird. In solchen Fällen wird Tanium den betreffenden Unterauftragsverarbeiter entweder nicht beauftragen oder ihm die Verarbeitung personenbezogener Kundendaten nicht gestatten. Sollten solche Maßnahmen nicht möglich sein, kann der Kunde den Vertrag mit einer Frist von dreißig (30) Tagen schriftlich kündigen. Eine solche Kündigung gilt als Kündigung ohne Verschulden und lässt die Verpflichtung des Kunden unberührt, alle bis zum Wirksamwerden der Kündigung fälligen Gebühren gemäß dem Vertrag zu entrichten. Nach einer solchen Kündigung bestehen zwischen den Parteien keine weiteren gegenseitigen Haftungsansprüche.

10. Zusammenarbeit und Rechte der betroffenen Personen. Die Tanium-Dienste stellen dem Kunden Steuerungsmöglichkeiten zur Verfügung, mit denen er personenbezogene Kundendaten abrufen, korrigieren, löschen oder einschränken kann. Der Kunde kann diese Steuerungsmöglichkeiten nutzen, um seinen Verpflichtungen gemäß den geltenden Datenschutzgesetzen nachzukommen, einschließlich seiner Verpflichtungen in Bezug auf die Beantwortung von Anfragen betroffener Personen oder zuständiger Datenschutzbehörden. Soweit der Kunde nicht in der Lage ist, selbstständig auf die relevanten personenbezogenen Kundendaten innerhalb der Tanium-Dienste zuzugreifen, wird Tanium dem Kunden wirtschaftlich angemessene und zeitnahe Unterstützung leisten, um dem Kunden zu ermöglichen, auf Folgendes zu reagieren: (i) alle Anfragen einer betroffenen Person zur Ausübung ihrer Rechte gemäß den geltenden Datenschutzgesetzen (einschließlich ihrer Rechte auf Zugang, Berichtigung, Widerspruch, Löschung und Datenübertragbarkeit, soweit zutreffend); und (ii) jegliche sonstige Korrespondenz, Anfrage oder Beschwerde, die von einer betroffenen Person, einer Aufsichtsbehörde oder einem sonstigen Dritten im Zusammenhang mit der Verarbeitung personenbezogener Kundendaten eingegangen ist. Wenn eine solche Anfrage, Korrespondenz, Anfrage oder Beschwerde direkt an Tanium gerichtet wird, wird Tanium den Kunden unverzüglich unter Angabe aller diesbezüglichen Details informieren.

11. Datenschutz-Folgenabschätzung. Soweit Tanium nach europäischen Datenschutzgesetzen dazu verpflichtet ist, wird Tanium wirtschaftlich angemessene, angeforderte Informationen zu den Tanium-Diensten bereitstellen (wobei diese Informationen als vertrauliche Informationen von Tanium gelten), um dem Kunden die Durchführung von Datenschutz-Folgenabschätzungen oder vorherigen Konsultationen mit Datenschutzbehörden zu ermöglichen, wie es die europäischen Datenschutzgesetze vorschreiben.

12. Sicherheitsvorfälle. Wenn Tanium von einem Sicherheitsvorfall Kenntnis erlangt, wird Tanium den Kunden per E-Mail ohne unangemessene Verzögerung benachrichtigen und dem Kunden angemessene Informationen und Unterstützung bereitstellen, damit der Kunde etwaige Meldepflichten bei Datenschutzverletzungen gemäß den geltenden Datenschutzgesetzen und innerhalb der darin vorgeschriebenen Fristen erfüllen kann. Tanium wird darüber hinaus die erforderlichen Maßnahmen und Schritte ergreifen, um die Auswirkungen des Sicherheitsvorfalls zu beheben oder zu mindern, und den Kunden, soweit möglich, über alle wesentlichen Entwicklungen im Zusammenhang mit dem Sicherheitsvorfall auf dem Laufenden halten.

13. Löschung oder Rückgabe von Daten. Nach Beendigung oder Ablauf des Vertrags wird Tanium nach Wahl des Kunden alle personenbezogenen Kundendaten, die sich in seinem Besitz oder unter seiner Kontrolle befinden und die Tanium als Auftragsverarbeiter verarbeitet, löschen oder an den Kunden zurückgeben. Wenn der Kunde Tanium seine Wahl nicht innerhalb von dreißig (30) Tagen nach Beendigung oder Ablauf des Vertrags mitteilt, wird Tanium alle derartigen personenbezogenen Kundendaten automatisch löschen. Wenn Tanium personenbezogene Kundendaten auf Backup-Systemen archiviert hat, wird Tanium die personenbezogenen Kundendaten sicher isolieren und vor jeder weiteren Verarbeitung schützen, bis die Backup-Systeme diese Daten löschen. Tanium wird personenbezogene Kundendaten nicht löschen, soweit gesetzlich vorgeschrieben ist, diese aufzubewahren.

14. Prüfung. Der Kunde bestätigt, dass Tanium regelmäßig von unabhängigen externen Prüfern hinsichtlich der anwendbaren Normen geprüft wird. Auf Anfrage, höchstens einmal in einem Zeitraum von 12 Monaten, außer wenn dies von einer zuständigen Aufsichtsbehörde verlangt wird, und ohne zusätzliche Kosten für den Kunden, stellt Tanium dem Kunden eine zusammenfassende Kopie seines/seiner Prüfberichts/Prüfberichte zur Verfügung, die den Vertraulichkeitsbestimmungen des Vertrags unterliegt. Auf Anfrage und vorbehaltlich der Vertraulichkeitsbestimmungen des Vertrags kann der Kunde Antworten auf einen Fragebogen zur Informationssicherheit und Prüfung anfordern, um die Einhaltung der Bestimmungen dieser DPA durch Tanium zu bestätigen, vorausgesetzt, dass der Kunde dieses Recht nicht mehr als einmal pro Jahr ausübt, außer wenn dies von einer zuständigen Aufsichtsbehörde verlangt wird. Tanium und der Kunde werden den Umfang der Kundenanfrage sowie die Start- und Enddaten im Voraus gemeinsam festlegen.

15. Sonstiges.

15,1. Im Verhältnis zwischen den Parteien unterliegt die Haftung jeder Partei, die sich aus dieser DPA ergibt oder damit zusammenhängt, den Haftungsbeschränkungsbestimmungen des Vertrags. Keine der Parteien wird unter keinen Umständen ihre Haftung gegenüber einer betroffenen Person oder einer Datenschutzbehörde im Rahmen der Standardvertragsklauseln beschränken.

15,2. Im Falle eines Konflikts oder einer Unvereinbarkeit zwischen dieser DPA und dem Vertrag in Bezug auf den Gegenstand dieser DPA hat diese DPA Vorrang.

15,3. Diese DPA unterliegt den Rechtswahlbestimmungen, die den Vertrag regeln, und wird in Übereinstimmung damit ausgelegt, sofern nicht anderweitig durch geltende Datenschutzgesetze vorgeschrieben.

15,4. Soweit die Standardvertragsklauseln anwendbar sind, ist Tanium Inc. der „Datenimporteur" im Sinne der Standardvertragsklauseln. Soweit die Tanium-Einheit, die Vertragspartei dieser DPA ist, nicht Tanium Inc. ist, erfüllt diese Tanium-Einheit die Pflichten des „Datenimporteurs" im Namen von Tanium Inc.

15,5. Ungeachtet etwaiger Einschränkungen hinsichtlich der Änderung oder Ergänzung des Vertrags vereinbaren die Parteien, dass Tanium diese DPA regelmäßig aktualisieren darf, um die Einhaltung von Änderungen der Datenschutzgesetze zu gewährleisten. Im Falle einer solchen Änderung wird Tanium eine aktualisierte Version unter www.tanium.com/dpa veröffentlichen. Eine solche Aktualisierung wird den Datenschutz oder die Sicherheit der personenbezogenen Daten des Kunden nicht wesentlich beeinträchtigen.

Anlage 1

ANHANG I

A. LISTE DER PARTEIEN

Datenexporteur(e):

Datenimporteur(e):

В. BESCHREIBUNG DER ÜBERMITTLUNG

C. ZUSTÄNDIGE AUFSICHTSBEHÖRDE

ANHANG II – TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN, EINSCHLIESSLICH ZUR GEWÄHRLEISTUNG DER SICHERHEIT DER DATEN