1. GELTUNGSBEREICH UND ANWENDUNG
Dieser PIPL-Nachtrag zum Datenschutzzusatz von Aryaka („Nachtrag“) gilt für die Verarbeitung personenbezogener Daten von Personen mit Wohnsitz auf dem chinesischen Festland („personenbezogene Daten aus China“) im Zusammenhang mit den Dienstleistungen von Aryaka. Dieser Nachtrag behandelt die spezifischen Verpflichtungen gemäß dem PIPL und sollte in Verbindung mit dem Datenschutzzusatz (Data Protection Addendum, „DPA“) gelesen werden, der die internationalen Datenschutzgrundsätze im Einklang mit dem PIPL-Rahmenwerk widerspiegelt, um vollständige Informationen über die Datenverarbeitungsverfahren von Aryaka zu erhalten. Dieser Nachtrag ergänzt den Datenschutzzusatz („DPA“) und ist Bestandteil desselben. Im Falle eines Widerspruchs zwischen diesem Nachtrag und dem DPA in Bezug auf personenbezogene Daten aus China hat dieser Nachtrag Vorrang.
Großgeschriebene Begriffe, die hier nicht definiert sind, haben die im DPA festgelegte Bedeutung.
2. BEGRIFFSBESTIMMUNGEN
Für die Zwecke dieses Nachtrags haben die folgenden Begriffe die nachstehend aufgeführten Bedeutungen:
(a) „Chinesische personenbezogene Daten“ bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person mit Wohnsitz auf dem chinesischen Festland beziehen, mit Ausnahme anonymisierter Informationen im Sinne von Artikel 4 des PIPL.
(b) „PIPL“ bezeichnet das Gesetz zum Schutz personenbezogener Daten der Volksrepublik China (in Kraft getreten am 1. November 2021) in seiner jeweils gültigen Fassung.
(c) „VR China“ bezeichnet die Volksrepublik China.
(d) Der Begriff „sensible personenbezogene Daten“ hat die in Artikel 28 des PIPL festgelegte Bedeutung.
(e) „Beauftragter“ bezeichnet eine Stelle, die personenbezogene Daten im Auftrag und gemäß den Anweisungen eines Verantwortlichen für personenbezogene Daten verarbeitet, wie in Artikel 21 des PIPL vorgesehen.
(f) „Verantwortlicher für die Verarbeitung personenbezogener Daten“ bezeichnet eine Organisation oder eine natürliche Person, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten eigenständig festlegt, wie in Artikel 73 des PIPL definiert.
3. FUNKTION UND ZWECK DER VERARBEITUNG
3.1 Wenn Aryaka personenbezogene Daten aus China im Zusammenhang mit der Erbringung von Dienstleistungen für seine Kunden verarbeitet, handelt Aryaka als beauftragte Partei (im Sinne von Abschnitt 2) im Auftrag des Kunden, der der Auftragsverarbeiter für personenbezogene Daten ist. Aryaka verarbeitet personenbezogene Daten aus China ausschließlich zum Zweck der Erbringung, Überwachung und Unterstützung der vertraglich vereinbarten Dienstleistungen sowie gemäß den Anweisungen des Kunden im Einklang mit dem Vertrag und den dokumentierten Anweisungen im Rahmen der DPA. Aryaka wird personenbezogene Daten aus China nicht über die im Vertrag und in der DPA vereinbarten Zwecke, Methoden oder den vereinbarten Umfang hinaus verarbeiten.
3.2 Der Kunde hat als Auftragsverarbeiter sicherzustellen, dass eine gültige Rechtsgrundlage für die Verarbeitung chinesischer personenbezogener Daten vorliegt, einschließlich der Einholung etwaiger gemäß dem PIPL erforderlicher Einwilligungen. Sofern das PIPL für bestimmte Verarbeitungsvorgänge (wie grenzüberschreitende Übermittlungen oder die Verarbeitung sensibler personenbezogener Daten) eine gesonderte Einwilligung vorschreibt, hat der Kunde diese Einwilligung einzuholen, bevor er die betreffenden personenbezogenen Daten aus China an Aryaka übermittelt.
4. KRITISCHE INFORMATIONSINFRASTRUKTUR
Aryaka bietet globale Netzwerk- und Sicherheitsdienste an, die die Vernetzung von Unternehmen über verschiedene Regionen hinweg ermöglichen, einschließlich des chinesischen Festlands. Gemäß dem Cybersicherheitsgesetz der Volksrepublik China gilt der Status als Betreiber kritischer Informationsinfrastruktur („CIIO“) für Betreiber in speziell ausgewiesenen Sektoren. Die Dienste von Aryaka fallen nicht unter die festgelegten Sektoren, und Aryaka verarbeitet keine sensiblen personenbezogenen Daten im Sinne des PIPL. Dementsprechend unterliegt Aryaka nicht den CIIO-spezifischen Anforderungen zur Datenlokalisierung gemäß dem PIPL oder dem Cybersicherheitsgesetz der VR China.
5. GRENZÜBERSCHREITENDE ÜBERWEISUNGEN
5.1 Im Rahmen der Erbringung seiner Dienstleistungen kann Aryaka personenbezogene Daten aus China verarbeiten, die zum Zweck der Dienstleistungserbringung, Überwachung und des Supports außerhalb des chinesischen Festlands übermittelt werden.
5.2 Zum Zeitpunkt des Inkrafttretens dieses Nachtrags erreicht das Volumen der von Aryaka im Zusammenhang mit seinen Diensten verarbeiteten personenbezogenen Daten aus China nicht die Schwellenwerte, die gemäß den „Bestimmungen zur Förderung und Regulierung grenzüberschreitender Datenströme“ (in Kraft getreten am 22. März 2024) die Einrichtung eines formellen Mechanismus für die grenzüberschreitende Datenübermittlung erfordern. Daher entsprechen die derzeitigen Verarbeitungsaktivitäten von Aryaka, wie in der Datenschutzvereinbarung (DPA) festgelegt, den Anforderungen an eine vereinfachte grenzüberschreitende Übermittlung, die nach dem Recht der Volksrepublik China zulässig ist.
5.3 Aryaka wird die betreffenden Datenmengen fortlaufend überwachen und wirtschaftlich angemessene Anstrengungen unternehmen, um einen formellen Mechanismus für den grenzüberschreitenden Datentransfer gemäß den geltenden Rechtsvorschriften der Volksrepublik China einzurichten, sobald die entsprechenden Schwellenwerte erreicht sind.
6. FOLGENABSCHÄTZUNG ZUM SCHUTZ PERSONENBEZOGENER DATEN
Auf begründete Anfrage des Kunden wird Aryaka die Informationen bereitstellen, die zur Erfüllung der Verpflichtung des Kunden zur Durchführung einer Folgenabschätzung zum Schutz personenbezogener Daten gemäß Artikel 55 des PIPL im Zusammenhang mit der beauftragten Verarbeitung chinesischer personenbezogener Daten angemessen erforderlich sind.