Cal.com-Anlage zu den Standardvertragsklauseln

Anlage zur Cal.com-Datenverarbeitungsvereinbarung v2.3 — Version 1.0 — Inkrafttreten: 1. November 2026

Teil 1. Anwendung der Klauseln

1.1 Diese Anlage ergänzt die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer, die von der Europäischen Kommission mit dem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 angenommen wurden (die „SCCs“), das UK International Data Transfer Addendum zu den Standardvertragsklauseln der EU-Kommission, Version B1.0, in Kraft seit dem 21. März 2022 (das „UK Addendum“), sowie die vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten geforderten Änderungen für Übermittlungen, die dem Schweizer Bundesgesetz über den Datenschutz unterliegen (die „Schweizer Änderungen“), jeweils wie durch §12.4 der Cal.com-Datenverarbeitungsvereinbarung (die „DPA“) einbezogen.

1.2 Der Text der SCCs wird durch Verweis genau so einbezogen, wie er im Amtsblatt der Europäischen Union veröffentlicht wurde (ABl. L 199, 7.6.2021, S. 31), abrufbar unter https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Teil 2: Verbindliche Klauseln des genehmigten Addendums, also das vom ICO herausgegebene Muster-Addendum B.1.0, das gemäß s119A des Data Protection Act 2018 am 2. Februar 2022 dem Parlament vorgelegt wurde, jeweils in der Fassung, die nach Section 18 dieser verbindlichen Klauseln überarbeitet wird. Keiner der Texte wird geändert, außer durch die Optionen, Festlegungen und Anhänge, die die SCCs und das UK Addendum selbst zulassen, wie in dieser Anlage festgelegt.

1.3 Die SCCs gelten für die in Anhang I.B beschriebenen Übermittlungen, die in ihren zulässigen Anwendungsbereich fallen und diese Schutzmaßnahmen erfordern, weil kein anderer gültiger Übermittlungsmechanismus nach DPA §12.2 die Übermittlung abdeckt. Auf einen gültigen und anwendbaren Angemessenheitsbeschluss, einschließlich eines Beschlusses, der die Teilnahme von Cal.com am relevanten Data Privacy Framework abdeckt, kann für Übermittlungen innerhalb seines Anwendungsbereichs gestützt werden. Bestehende SCC-Verpflichtungen erlöschen nicht automatisch; eine Beendigung oder ein Widerruf muss den anwendbaren SCCs und dem UK Addendum entsprechen. Bereits entstandene Rechte bleiben unberührt.

1.4 Die Parteien schließen die SCCs durch wirksame Unterzeichnung des ausgefüllten Anhangs I.A ab, einschließlich durch eine rechtlich wirksame elektronische Signatur, die in den Vertrag oder die DPA einbezogen ist. Der Unterzeichnungsnachweis muss die Parteien, die anwendbare Version der Anlage und das Inkrafttretensdatum ausweisen. Auf Anfrage stellt Cal.com eine Kopie der zwischen den Parteien verbindlichen Version bereit.

1.5 In der DPA definierte Begriffe haben hier dieselbe Bedeutung. „Kunde“ ist der Datenexporteur und „Cal.com“ ist der Datenimporteur. Bei einem Konflikt zwischen dieser Anlage und den SCCs haben die SCCs Vorrang (DPA §12.4(j)); bei einem Konflikt zwischen dieser Anlage und der DPA zu einem Punkt, den die SCCs den Parteien überlassen, hat diese Anlage Vorrang.

Teil 2. Module, Optionen und Festlegungen

Teil 3. Anhang I

A. Liste der Parteien

Datenexporteur

Datenimporteur

B. Beschreibung der Übermittlung

C. Zuständige Aufsichtsbehörde

Die konkrete zuständige Aufsichtsbehörde, die gemäß Klausel 13(a) bestimmt wird, ist in den kundenspezifischen Informationen angegeben, die in diesen Anhang aufgenommen sind.

Teil 4. Anhang II — Technische und organisatorische Maßnahmen

Dieser Anhang beschreibt die Maßnahmen, die Cal.com gemäß DPA §5 und Klausel 8.6 umsetzt. Er ist nach den Überschriften in Anhang II der SCCs gegliedert. Cal.com darf diese Maßnahmen gemäß DPA §5.3 aktualisieren, sofern die Gesamtsicherheit der Services nicht wesentlich verringert wird. Cal.coms Kontrollinventar und unabhängige Prüfberichte sind verfügbar unter trust.cal.com; die unten aufgeführten Maßnahmen, nicht das Kontrollinventar, sind die vertragliche Beschreibung für Klausel 8.6.

Teil 5. Anhang III — Liste der Unterauftragsverarbeiter

Die verbindliche, aktuelle Liste der Unterauftragsverarbeiter, einschließlich Namen der Rechtsträger, Standorte und Zwecke, wird veröffentlicht unter trust.cal.com und wird gemäß DPA §6.3 aktualisiert. Cal.com stellt die nach Klausel 9(a) erforderliche schriftliche Mitteilung vor der Hinzufügung oder dem Austausch eines Unterauftragsverarbeiters für die betreffende Verarbeitung über eine dokumentierte elektronische Methode gemäß DPA §6.3 bereit. Für die Zwecke von Klausel 9(a) erteilt der Kunde im Rahmen von Modul zwei Cal.com eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter aus der vereinbarten Liste unter trust.cal.com in der Fassung zum Datum des Wirksamwerdens der SCCs zwischen den Parteien einzusetzen. Im Rahmen von Modul drei erfordert der Einsatz dieser Unterauftragsverarbeiter die allgemeine schriftliche Genehmigung des jeweiligen Verantwortlichen. Hinzufügungen oder Ersetzungen unterliegen Klausel 9(a) und DPA §6.3–6.4, soweit dies mit dieser Klausel vereinbar ist.

Da Klausel 9(a) Option 2 gilt, gibt dieser Anhang die Liste nicht wieder.

Die Liste der Unterauftragsverarbeiter nennt die relevanten Verarbeitungsorte für personenbezogene Kundendaten. Das Gründungsland eines Unterauftragsverarbeiters ist keine Aussage darüber, wo er die Daten verarbeitet. Änderungen unterliegen weiterhin den geltenden Mitteilungs- und Genehmigungsanforderungen. Anbieter, die nur für eigene Zwecke von Cal.com genutzt werden, sind keine Unterauftragsverarbeiter und werden nicht aufgeführt: Analysen und Werbung für die Marketing-Website (Google Analytics/GTM, X Ads), das eigene CRM von Cal.comdas kundeneigene CRM (HubSpot) und Apps, die der Kunde mit seinem eigenen Drittanbieter-Konto verbindet (Zapier, Dub, Close.com, GA4/GTM-Apps), bei denen der Kunde der Verantwortliche ist, der diesen Anbieter direkt anweist.

Teil 6. UK Addendum — ausgefüllte Tabellen

Tabelle 1: Parteien. Startdatum: das Datum, an dem die SCCs zwischen den Parteien gemäß Teil 1.4 wirksam werden. Exporteur und Importeur: wie in Anhang I.A angegeben, ergänzt um den Handelsnamen jeder Partei, falls abweichend, die eingetragene Adresse oder die anwendbare Hauptadresse sowie, falls vorhanden, die offizielle Registrierungsnummer. Wichtige Kontakte: die für jede Partei erfasste Berufsbezeichnung und die Kontaktdaten. Unterzeichnung: gemäß Abschnitt 2 des UK Addendum und dem anwendbaren Unterzeichnungsnachweis.

Tabelle 2: Ausgewählte SCCs, Module und ausgewählte Klauseln. Die genehmigten EU-SCCs, einschließlich der Anhangsinformationen, wie durch diesen Schedule ausgefüllt: Modul zwei oder Modul drei, soweit gemäß Teil 2 anwendbar; Klausel 7 gilt; die optionale Sprache in Klausel 11 gilt nicht; Klausel 9(a) Option 2 mit der in Teil 2 genannten Mitteilungsfrist (DPA §6.3); Klauseln 17 und 18 wie in Teil 2, vorbehaltlich Abschnitt 15 des UK Addendum (der für Angelegenheiten, die dem UK Addendum unterliegen, die Gesetze und Gerichte von England und Wales ersetzt). Beitrittsklausel: gilt. Werden vom Importeur erhaltene personenbezogene Daten mit vom Exporteur erhobenen personenbezogenen Daten kombiniert? Nein.

Tabelle 3: Anhangsinformationen. Anhang 1A: wie in Teil 3.A. Anhang 1B: wie in Teil 3.B. Anhang II: wie in Teil 4. Anhang III: wie in Teil 5.

Tabelle 4: Beendigung dieses Addendum, wenn sich das genehmigte Addendum ändert. Der Importeur kann das UK Addendum wie in dessen Abschnitt 19 beschrieben beenden.

Für UK-Übermittlungen sind Verweise in den SCCs auf die GDPR, das Recht eines Mitgliedstaats und die Aufsichtsbehörde so zu verstehen, wie im UK Addendum festgelegt; die zuständige Aufsichtsbehörde ist der UK Information Commissioner.

Teil 7. Schweizer Änderungen

Für Übermittlungen, die dem Schweizer Bundesgesetz über den Datenschutz („FADP“) unterliegen:

(a) Verweise auf die GDPR gelten als Verweise auf den FADP, und Verweise auf EU- oder Mitgliedstaaten-Datenschutzrecht als Verweise auf das entsprechende Schweizer Datenschutzrecht, ohne die vertraglichen Rechtswahl- und Gerichtsstandsvereinbarungen in Absatz (d) zu ändern, soweit die Übermittlung ausschließlich dem FADP unterliegt; wenn eine Übermittlung sowohl der GDPR als auch dem FADP unterliegt, gelten die SCCs parallel unter beiden;

(b) der Schweizerische Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist für Übermittlungen zuständig, die dem FADP unterliegen; wenn die GDPR ebenfalls gilt, bleibt die gemäß Klausel 13 für GDPR-Angelegenheiten bestimmte zuständige Behörde zuständig;

© der Begriff „Mitgliedstaat“ wird nicht so ausgelegt, dass betroffene Personen in der Schweiz davon ausgeschlossen sind, ihre Rechte an ihrem gewöhnlichen Aufenthaltsort in der Schweiz gemäß Klausel 18© einzuklagen;

(d) das anwendbare Recht und der Gerichtsstand gemäß Klauseln 17 und 18 bleiben wie in Teil 2, sofern zwingendes Schweizer Recht nichts anderes erfordert.

Teil 8. Angaben zu Modul drei

Wenn der Kunde als Auftragsverarbeiter für einen dritten Verantwortlichen handelt:

(a) Der Kunde bestätigt, dass der Verantwortliche den Einsatz von Cal.com als Unterauftragsverarbeiter und die Übermittlung gemäß den SCCs genehmigt hat und dass der Kunde die Weisungen des Verantwortlichen, einschließlich Weisungen zu Anfragen betroffener Personen, Löschung und Audits, über die im DPA vorgesehenen Kanäle weiterleitet;

(b) Mitteilungen müssen die Empfänger erreichen, die nach der jeweils anwendbaren SCC-Bestimmung erforderlich sind. Der Kunde leitet Mitteilungen weiter, wenn die SCCs ihm diese Verantwortung zuweisen. Cal.com wird den Verantwortlichen direkt benachrichtigen, wenn die SCCs dies verlangen, einschließlich gemäß Klausel 8.6©, soweit angemessen und machbar. Jede genehmigte Mitteilungsregelung über den Kunden muss die Rechte des Verantwortlichen und die von den SCCs vorgegebenen Fristen wahren.

© Der Kunde stellt Cal.com von Ansprüchen des Verantwortlichen frei, die aus fehlender Befugnis des Kunden oder aus Weisungen entstehen, die Cal.com über den Kunden erhält (DPA §12.4(a)). Diese Freistellung beschränkt nicht die Verpflichtungen oder Haftung von Cal.com gemäß den SCCs.