(a) „posebne vrste podatkov“ pomenijo podatke iz člena 8 Direktive 95/46/ES;

(b) „nadzorni organ“ pomeni organ iz člena 28 Direktive 95/46/ES;

(c) „izvoznik podatkov“ pomeni upravljavca, ki prenaša osebne podatke;

(d) „uvoznik podatkov“ pomeni obdelovalca s sedežem v tretji državi, ki soglaša, da od izvoznika podatkov prejema osebne podatke, namenjene za obdelavo v imenu izvoznika podatkov po prenosu v skladu z njegovimi navodili in pogoji tega sklepa, ter ki ni podvržen sistemu tretje države za zagotovitev primernega varstva v smislu člena 25(1) Direktive 95/46/ES;

(e) „podobdelovalec“ pomeni obdelovalca, ki ga zaposli uvoznik podatkov ali kateri koli drug podobdelovalec pri uvozniku podatkov in ki soglaša, da od uvoznika podatkov ali katerega koli drugega podobdelovalca pri uvozniku podatkov prejema osebne podatke, namenjene izključno za obdelavo v imenu izvoznika podatkov po prenosu v skladu z navodili izvoznika podatkov, standardnimi pogodbenimi klavzulami iz Priloge in pogoji pisne pogodbe o podobdelavi;

(f) „veljavno pravo o varstvu podatkov“ pomeni zakonodajo, ki varuje temeljne pravice in svoboščine posameznikov ter zlasti njihovo pravico do zasebnosti glede obdelave osebnih podatkov, ki jo uporablja upravljavec podatkov v državi članici, v kateri je sedež izvoznika podatkov;

(g) „tehnični in organizacijski varnostni ukrepi“ pomenijo tiste ukrepe, usmerjene k varstvu osebnih podatkov pred naključnim ali nezakonitim uničenjem ali naključno izgubo, spreminjanjem, nepooblaščenim posredovanjem ali dostopom, zlasti kadar obdelava vključuje prenos podatkov prek omrežja, ter pred katero koli drugo nezakonito obliko obdelave.

(a) imajo pojmi „osebni podatki“, „posebne vrste podatkov“, „obdelava“, „upravljavec“, „obdelovalec“, „posameznik, na katerega se nanašajo osebni podatki“ in „nadzorni organ“ enak pomen kot v Direktivi Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ( 1 );

(b) „izvoznik podatkov“ pomeni upravljavca, ki prenaša osebne podatke;

(c) „uvoznik podatkov“ pomeni obdelovalca, ki soglaša, da od izvoznika podatkov prejema osebne podatke, namenjene za obdelavo v imenu izvoznika podatkov po prenosu v skladu z njegovimi navodili in pogoji klavzul, ter ki ni podvržen sistemu tretje države za zagotovitev primernega varstva v smislu člena 25(1) Direktive 95/46/ES;

(d) „podobdelovalec“ pomeni obdelovalca, ki ga zaposli uvoznik podatkov ali kateri koli drug podobdelovalec pri uvozniku podatkov in ki soglaša, da od uvoznika podatkov ali katerega koli drugega podobdelovalca pri uvozniku podatkov prejema osebne podatke, namenjene izključno za obdelavo v imenu izvoznika podatkov po prenosu v skladu z njegovimi navodili, pogoji klavzul in pogoji pisne podpogodbe;

(e) „veljavno pravo o varstvu podatkov“ pomeni zakonodajo, ki varuje temeljne pravice in svoboščine posameznikov ter zlasti njihovo pravico do zasebnosti glede obdelave osebnih podatkov, ki jo uporablja upravljavec podatkov v državi članici, v kateri je sedež izvoznika podatkov;

(f) „tehnični in organizacijski varnostni ukrepi“ pomenijo tiste ukrepe, usmerjene k varstvu osebnih podatkov pred naključnim ali nezakonitim uničenjem ali naključno izgubo, spreminjanjem, nepooblaščenim posredovanjem ali dostopom, zlasti tam, kjer obdelava vključuje prenos podatkov prek omrežja, ter pred katero koli drugo nezakonito obliko obdelave.

1. Posameznik, na katerega se nanašajo osebni podatki, lahko kot upravičena tretja stranka proti izvozniku podatkov uveljavlja to klavzulo, klavzulo 4(b) do (i), klavzulo 5(a) do (e) in (g) do (j), klavzulo 6(1) in (2), klavzulo 7, klavzulo 8(2) ter klavzule 9 do 12.

2. Posameznik, na katerega se nanašajo osebni podatki, lahko proti uvozniku podatkov uveljavlja to klavzulo, klavzulo 5(a) do (e) in (g), klavzulo 6, klavzulo 7, klavzulo 8(2) ter klavzule 9 do 12, če izvoznik podatkov dejansko izgine ali pravno preneha obstajati, razen če je pravni naslednik s pogodbo ali po zakonu prevzel vse pravice in obveznosti izvoznika podatkov; v tem primeru lahko posameznik, na katerega se nanašajo osebni podatki, navedene klavzule uveljavlja proti pravnemu nasledniku.

3. Posameznik, na katerega se nanašajo osebni podatki, lahko proti podobdelovalcu uveljavlja to klavzulo, klavzulo 5(a) do (e) in (g), klavzulo 6, klavzulo 7, klavzulo 8(2) ter klavzule 9 do 12, če izvoznik in uvoznik podatkov dejansko izgineta, pravno prenehata obstajati ali postaneta insolventna, razen če je pravni naslednik s pogodbo ali po zakonu prevzel vse pravice in obveznosti izvoznika podatkov; v tem primeru lahko posameznik, na katerega se nanašajo osebni podatki, navedene klavzule uveljavlja proti pravnemu nasledniku. Takšna odgovornost podobdelovalca je omejena na njegove postopke obdelave iz klavzul.

4. Stranki ne nasprotujeta temu, da posameznika, na katerega se nanašajo osebni podatki, zastopa združenje ali drug organ, če posameznik to izrecno želi in če to dovoljuje nacionalna zakonodaja.

(a) da se je obdelava osebnih podatkov vključno s prenosom izvajala in se bo še naprej izvajala v skladu z ustreznimi določbami veljavnega prava o varstvu podatkov (ter so bili po potrebi o tem obveščeni pristojni organi v državi članici, v kateri je sedež izvoznika podatkov) in da ne krši ustreznih predpisov te države;

(b) da je uvoznika podatkov poučil in mu bo med trajanjem obdelave osebnih podatkov še naprej dajal navodila, da naj obdeluje prenesene osebne podatke samo v imenu izvoznika podatkov ter v skladu z veljavnim pravom o varstvu podatkov in klavzulami;

(c) da bo uvoznik podatkov zagotovil zadostna jamstva glede tehničnih in organizacijskih varnostnih ukrepov iz Dodatka 2 k tej pogodbi;

(d) da so varnostni ukrepi ob upoštevanju zahtev veljavnega prava o varstvu podatkov, najsodobnejše tehnologije in stroškov njihovega izvajanja primerni za varstvo osebnih podatkov pred naključnim ali nezakonitim uničenjem ali naključno izgubo, spreminjanjem, nepooblaščenim posredovanjem ali dostopom, zlasti kadar obdelava vključuje prenos podatkov prek omrežja, ter pred katero koli drugo nezakonito obliko obdelave, in da ti ukrepi zagotavljajo raven varnosti, primerno tveganju, ki ga predstavljata obdelava in narava podatkov, ki jih je treba varovati;

(e) da bo zagotovil upoštevanje varnostnih ukrepov;

(f) da je bil oziroma bo posameznik, na katerega se nanašajo osebni podatki, v primeru prenosa posebnih vrst podatkov pred prenosom ali čim prej po njem obveščen o tem, da bi se njegovi podatki lahko prenesli v tretjo državo, ki ne zagotavlja primernega varstva v smislu Direktive 95/46/ES;

(g) da v skladu s klavzulo 5(b) in klavzulo 8(3) vsako obvestilo, prejeto od uvoznika podatkov ali katerega koli podobdelovalca, posreduje nadzornemu organu za varstvo osebnih podatkov, če se odloči nadaljevati prenos ali odpraviti začasno ustavitev;

(h) da posameznikom, na katere se nanašajo osebni podatki, na zahtevo da na voljo izvod klavzul razen Dodatka 2 in kratek opis varnostnih ukrepov, kot tudi izvod kakršne koli pogodbe o storitvah podobdelave, ki mora biti v skladu s klavzulami sklenjena s podobdelovalcem, razen če klavzule ali pogodba vsebujejo poslovne informacije; v tem primeru se take poslovne informacije lahko izvzamejo;

(i) da podobdelovalec v primeru podobdelave obdeluje podatke v skladu s klavzulo 11 in zagotavlja najmanj enako raven varstva osebnih podatkov in pravic posameznika, na katerega se nanašajo osebni podatki, kot jo zagotavlja uvoznik podatkov v skladu s klavzulami; ter

(j) da bo zagotovil upoštevanje klavzule 4(a) do (i).

(a) da obdeluje osebne podatke samo v imenu izvoznika podatkov ter v skladu z njegovimi navodili in klavzulami; če jih iz kakršnih koli razlogov ne more upoštevati, soglaša, da o tem nemudoma obvesti izvoznika podatkov, ki je v tem primeru upravičen začasno ustaviti prenos podatkov in/ali odstopiti od pogodbe;

(b) da nima razloga za domnevo, da mu zakonodaja, ki velja zanj, preprečuje izpolnjevanje navodil izvoznika podatkov in obveznosti iz pogodbe, ter da bo v primeru spremembe te zakonodaje, ki bo verjetno imela znaten negativen učinek na jamstva in obveznosti iz klavzul, to spremembo sporočil izvozniku podatkov takoj, ko bo zanjo izvedel, izvoznik podatkov pa je v tem primeru upravičen začasno ustaviti prenos podatkov in/ali odstopiti od pogodbe;

(c) da je pred obdelavo prenesenih osebnih podatkov izvedel tehnične in organizacijske varnostne ukrepe iz Dodatka 2;

(d) da bo izvoznika podatkov nemudoma obvestil o:

(i) vseh pravno zavezujočih zahtevah organa kazenskega pregona za posredovanje osebnih podatkov, razen če je to kako drugače prepovedano, na primer s prepovedjo po kazenski zakonodaji zaradi ohranjanja zaupnosti kazenske preiskave;

(ii) vsakem naključnem ali nepooblaščenem dostopu; ter

(iii) vseh zahtevah, prejetih neposredno od posameznikov, na katere se nanašajo osebni podatki, ne da bi nanje odgovoril, razen če dobi za to pooblastilo;

(e) da nemudoma in ustrezno obravnava vse poizvedbe izvoznika podatkov v zvezi z obdelavo prenesenih osebnih podatkov ter upošteva nasvete nadzornega organa glede obdelave prenesenih podatkov;

(f) da na zahtevo izvoznika podatkov predloži svojo opremo za obdelavo podatkov v pregled dejavnosti obdelave, zajetih v klavzulah, ki ga izvede izvoznik podatkov ali inšpekcijski organ, sestavljen iz neodvisnih članov, ki so primerno strokovno usposobljeni ter zavezani k molčečnosti, izbere pa jih izvoznik podatkov, po potrebi v dogovoru z nadzornim organom;

(g) da posameznikom, na katere se nanašajo osebni podatki, na zahtevo da na voljo izvod klavzul, kot tudi izvod kakršne koli pogodbe o podobdelavi, razen če klavzule ali pogodba vsebujejo poslovne informacije; v tem primeru se take poslovne informacije lahko izvzamejo; v primerih, ko posameznik, na katerega se nanašajo osebni podatki, ne more dobiti izvoda od izvoznika podatkov, se Dodatek 2 zamenja s kratkim opisom varnostnih ukrepov;

(h) da je v primeru podobdelave predhodno obvestil izvoznika podatkov in pridobil njegovo predhodno pisno soglasje;

(i) da bo podobdelovalec izvajal storitve obdelave v skladu s klavzulo 11;

(j) da izvozniku podatkov nemudoma pošlje izvod pogodbe o podobdelavi, sklenjene na podlagi klavzul.

1. Stranki soglašata, da je vsak posameznik, na katerega se nanašajo osebni podatki, ki je zaradi kršitve obveznosti iz klavzule 3 ali klavzule 11 s strani stranke ali podobdelovalca utrpel škodo, upravičen od izvoznika podatkov prejeti odškodnino za utrpelo škodo.

2. Če posameznik, na katerega se nanašajo osebni podatki, zaradi kršitve katere koli obveznosti iz klavzule 3 ali klavzule 11 s strani uvoznika podatkov ali njegovega podobdelovalca ne more uveljavljati odškodninskega zahtevka v skladu z odstavkom 1 zoper izvoznika podatkov, ker je izvoznik podatkov dejansko izginil, pravno prenehal obstajati ali pa postal insolventen, uvoznik podatkov soglaša, da lahko posameznik zahtevek uveljavlja zoper njega namesto zoper izvoznika podatkov, razen če je kak pravni naslednik s pogodbo ali po zakonu prevzel vse pravne obveznosti izvoznika podatkov; v tem primeru lahko posameznik, na katerega se nanašajo osebni podatki, uveljavlja svoj zahtevek zoper pravnega naslednika.

3. Če posameznik, na katerega se nanašajo osebni podatki, zaradi kršitve katere koli obveznosti iz klavzule 3 ali klavzule 11 s strani podobdelovalca ne more uveljavljati zahtevka iz odstavkov 1 in 2 zoper izvoznika podatkov ali uvoznika podatkov, ker sta izvoznik in uvoznik podatkov dejansko izginila, pravno prenehala obstajati ali pa postala insolventna, podobdelovalec soglaša, da lahko posameznik zahtevek uveljavlja zoper njega glede njegovih postopkov obdelave iz klavzul namesto zoper izvoznika ali uvoznika podatkov, razen če je kak pravni naslednik s pogodbo ali po zakonu prevzel vse pravne obveznosti izvoznika ali uvoznika podatkov; v tem primeru lahko posameznik, na katerega se nanašajo osebni podatki, uveljavlja svoj zahtevek zoper pravnega naslednika. Odgovornost podobdelovalca je omejena na njegove postopke obdelave iz klavzul.

1. Če posameznik, na katerega se nanašajo osebni podatki, na podlagi klavzul zoper uvoznika podatkov uveljavlja pravice kot upravičena tretja stranka in/ali odškodninski zahtevek, uvoznik podatkov soglaša, da bo sprejel odločitev posameznika, da:

(a) spor predloži v mediacijo, ki jo izvede neodvisna oseba ali, kjer je primerno, nadzorni organ;

(b) spor predloži sodiščem v državi članici, v kateri je sedež izvoznika podatkov.

2. Stranki soglašata, da izbira posameznika, na katerega se nanašajo osebni podatki, ne vpliva na njegove materialne ali procesne pravice za uveljavljanje pravnih sredstev v skladu z drugimi določbami nacionalnega ali mednarodnega prava.

1. Izvoznik podatkov soglaša z deponiranjem izvoda te pogodbe pri nadzornem organu, če ta to zahteva ali če veljavno pravo o varstvu podatkov to predpisuje.

2. Stranki soglašata, da ima nadzorni organ pravico izvesti pregled uvoznika podatkov in vseh podobdelovalcev, ki ima enak obseg in zanj veljajo enaki pogoji, ki bi veljali za pregled izvoznika podatkov v skladu z veljavnim pravom o varstvu podatkov.

3. Uvoznik podatkov nemudoma obvesti izvoznika podatkov o zakonodaji, ki velja zanj ali za katerega koli podobdelovalca in preprečuje pregled uvoznika podatkov ali podobdelovalcev v skladu z odstavkom 2. Izvoznik podatkov je v tem primeru upravičen sprejeti ukrepe iz klavzule 5(b).

1. Uvoznik podatkov brez predhodnega pisnega soglasja izvoznika podatkov podobdelovalcu ne sme oddati izvajanja postopkov obdelave, ki jih izvaja v imenu izvoznika podatkov na podlagi klavzul. Uvoznik podatkov lahko s soglasjem izvoznika podatkov odda izvajanje svojih obveznosti iz klavzul samo s pisnim sporazumom s podobdelovalcem, ki podobdelovalcu nalaga iste obveznosti, kot jih ima uvoznik podatkov po klavzulah ( 3 ). Če podobdelovalec ne izpolni svojih obveznosti glede varstva podatkov iz takega pisnega sporazuma, ostane uvoznik podatkov v razmerju do izvoznika podatkov v celoti odgovoren za izpolnitev obveznosti podobdelovalca iz sporazuma.

2. Predhodni pisni sporazum med uvoznikom podatkov in podobdelovalcem vsebuje tudi klavzulo v korist tretjega, kot je določena v klavzuli 3, za primere, ko posameznik, na katerega se nanašajo osebni podatki, ne more uveljavljati odškodninskega zahtevka iz odstavka 1 klavzule 6 zoper izvoznika podatkov ali uvoznika podatkov, ker sta dejansko izginila, pravno prenehala obstajati ali pa postala insolventna in noben pravni naslednik ni s pogodbo ali po zakonu prevzel pravnih obveznosti izvoznika ali uvoznika podatkov. Takšna odgovornost podobdelovalca je omejena na njegove postopke obdelave iz klavzul.

3. Za določbe o varstvu podatkov pri oddaji izvajanja postopkov obdelave podobdelovalcu v skladu z odstavkom 1 velja pravo države članice, v kateri je sedež izvoznika podatkov, in sicer …

4. Izvoznik podatkov vodi in vsaj enkrat letno posodablja seznam pogodb o podobdelavi, ki so sklenjene na podlagi klavzul in o katerih ga obvesti uvoznik podatkov v skladu s klavzulo 5(j). Seznam je na voljo nadzornemu organu izvoznika podatkov.

1. Stranki soglašata, da uvoznik podatkov in podobdelovalec po prenehanju opravljanja storitev obdelave podatkov glede na izbiro izvoznika podatkov vrneta vse prenesene osebne podatke in njihove kopije izvozniku podatkov ali vse osebne podatke uničita in izvozniku podatkov potrdita, da sta to storila, razen če zakonodaja, veljavna za uvoznika podatkov, temu preprečuje vračanje ali uničenje vseh ali dela prenesenih osebnih podatkov. V tem primeru uvoznik podatkov jamči, da bo zagotovil zaupnost prenesenih osebnih podatkov in jih ne bo več aktivno obdeloval.

2. Uvoznik podatkov in podobdelovalec jamčita, da bosta na zahtevo izvoznika podatkov in/ali nadzornega organa predložila svojo opremo za obdelavo podatkov v pregled ukrepov iz odstavka 1.

IZVOZNIK PODATKOV

Ime: …

Podpis pooblaščene osebe …

UVOZNIK PODATKOV

Ime: …

Podpis pooblaščene osebe …

(a) pravočasnega obvestila izvoznika podatkov uvozniku podatkov o zahtevku; ter

(b) možnosti uvoznika podatkov, da sodeluje z izvoznikom podatkov pri obrambi in poravnavi odškodninskega zahtevka ( 4 ).