Wesentlicher Inhalt der Vereinbarung über die gemeinsame Verantwortlichkeit

Die Unternehmen der METRO Unternehmensgruppe können personenbezogene Daten gemeinsam nutzen, indem sie als gemeinsam Verantwortliche handeln. Die Beschreibung und Zuordnung jeder einzelnen Verarbeitungstätigkeit ist in einem Einzelvertrag zwischen den beteiligten Gesellschaften der METRO Unternehmensgruppe festgelegt und in der jeweiligen Datenschutzerklärung beschrieben.

Dieses Dokument enthält den wesentlichen Inhalt der Vereinbarung über die gemeinsame Verantwortlichkeit ("JCA") zwischen den betreffenden Unternehmen der METRO Unternehmensgruppe, die in der jeweiligen Datenschutzerklärung als gemeinsam für die Verarbeitung Verantwortliche bezeichnet sind.

1. Verarbeitungstätigkeiten und Verantwortung
   1. Die Datenverarbeitungstätigkeiten, die in jedem Einzelvertrag als "gemeinsame Verantwortlichkeit" definiert sind, werden gemäß dieser Vereinbarung durchgeführt.
   2. Die Parteien sind gemeinsam für die Rechtmäßigkeit aller Verarbeitungstätigkeiten im Rahmen ihrer gemeinsamen Verantwortlichkeit verantwortlich. Dies gilt unbeschadet der Verantwortlichkeiten für bestimmte Verarbeitungstätigkeiten, so wie sie im jeweiligen Einzelvertrag festgelegt sind.
   3. Ungeachtet der entsprechenden Bestimmungen über die Verantwortlichkeit für die Verarbeitungstätigkeiten in dem JCA und dem jeweiligen Einzelvertrag müssen die Parteien unabhängig voneinander sicherstellen, dass sie in der Lage sind, alle gesetzlichen Verpflichtungen zur Aufbewahrung personenbezogener Daten zu erfüllen. Zu diesem Zweck ergreifen sie geeignete Datensicherheitsmaßnahmen zum Schutz der personenbezogenen Daten. Dies gilt insbesondere für den Fall der Beendigung der Zusammenarbeit der Parteien.


2. Rechtmäßigkeit der Verarbeitung
   1. Die Verarbeitung personenbezogener Daten im Rahmen dieser Vereinbarung darf nur erfolgen, wenn und soweit sich die Verarbeitung auf eine angemessene Rechtsgrundlage stützen kann. Die Rechtsgrundlage für jede Tätigkeit wird im jeweiligen Einzelvertrag dargelegt.


3. Information der betroffenen Personen
   1. Die Vertragsparteien verpflichten sich, den betroffenen Personen die nach Art. 13 und 14 DSGVO erforderlichen Informationen kostenlos und in knapper, transparenter, verständlicher und leicht zugänglicher Form unter Verwendung einer klaren und einfachen Sprache zur Verfügung zu stellen. Jede an der Datenverarbeitung beteiligte Partei ist für die Bereitstellung der Informationen an die betroffenen Personen verantwortlich. Soweit der Einzelvertrag vorsieht, dass eine bestimmte Partei für die Information der betroffenen Personen verantwortlich ist, stellen die anderen Parteien dieser Partei die zu diesem Zweck erforderlichen Informationen zur Verfügung.
   2. Die Vertragsparteien verpflichten sich, den betroffenen Personen den wesentlichen Inhalt dieser JCA und des Einzelvertrags gemäß Art. 26 Abs. 2 DSGVO zur Verfügung zu stellen. Um dieser Verpflichtung nachzukommen, werden die Parteien den betroffenen Personen den wesentlichen Inhalt dieses JCA mit den Informationen gemäß Art. 13, 14 DSGVO bekanntgeben. Die Informationen über den wesentlichen Inhalt werden von den Parteien bei Bedarf aktualisiert. Die Partei, die für die Aktualisierung dieser Informationen verantwortlich ist, ist die Partei, die für die Bereitstellung der Informationen an die betroffene Person verantwortlich ist.


4. Erfüllung anderer Rechte und Anträge der betroffenen Person
   1. Betroffene Personen können ihre Rechte nach Art. 15 bis 22 DSGVO ("Betroffenenrechte") gegenüber beiden Vertragsparteien des JCA geltend machen.
   2. Die Parteien können eine gemeinsame Kontaktstelle im Sinne von Art. 26 Abs. 1 S. 3 DSGVO für Anträge der betroffenen Person und andere Anfragen der betroffenen Person zu gemeinsamen Verarbeitungstätigkeiten im Rahmen des jeweiligen Einzelvertrags benennen.
   3. Wenden sich betroffene Personen mit einem Betroffenenrecht an eine der Vertragsparteien, so bearbeitet diese das Betroffenenrecht selbstständig und unterrichtet, soweit möglich und erforderlich, die andere Vertragspartei davon. Die Vertragsparteien unterstützen sich gegenseitig bei der Erledigung von Betroffenenrechten der betroffenen Personen, soweit dies erforderlich ist. Die Kommunikation mit der betroffenen Person erfolgt durch die Partei, an die das Ersuchen gerichtet wurde. Soweit der Einzelvertrag eine bestimmte Partei als verantwortlich für die Bearbeitung von Betroffenenrechten der betroffenen Personen benennt, unterstützen die anderen Parteien die verantwortliche Partei im erforderlichen Umfang, insbesondere durch die Bereitstellung aller vernünftigerweise erforderlichen Informationen.
   4. Die Vertragsparteien unterrichten sich gegenseitig, wenn personenbezogene Daten geändert oder gelöscht werden müssen. Eine Vertragspartei kann der Änderung oder Löschung aus einem berechtigten Grund widersprechen, beispielsweise wenn sie gesetzlich zur Aufbewahrung der personenbezogenen Daten verpflichtet ist.


5. Verfahren im Falle von Datenschutzverletzungen
   1. Soweit im jeweiligen Einzelvertrag nichts anderes vereinbart ist, ist das federführende Unternehmen für die Prüfung und Behandlung aller Verletzungen des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO ("Datenschutzverletzung"), einschließlich der Erfüllung der sich daraus ergebenden Meldepflichten gegenüber der zuständigen Aufsichtsbehörde gemäß Art. 33 DSGVO oder an betroffene Personen gemäß Art. 34 DSGVO.
   2. Die Parteien benachrichtigen sich gegenseitig unverzüglich über jede Datenschutzverletzung, die unter der gemeinsamen Verantwortlichkeit aufgetreten sein könnte, und arbeiten im erforderlichen und angemessenen Umfang bei der Benachrichtigung gemäß Art. 33, 34 DSGVO und bei der Untersuchung, Abschwächung und Behebung der Datenschutzverletzung zusammen.


6. Zusammenarbeit mit den Aufsichtsbehörden
   1. Jede Vertragspartei unterrichtet die andere Vertragspartei unverzüglich, wenn eine Aufsichtsbehörde ein Ersuchen im Zusammenhang mit der gemeinsamen Verantwortlichkeit stellt.
   2. Die Parteien konsultieren einander in angemessener Weise und so weit wie möglich, bevor sie auf Anfragen einer Aufsichtsbehörde antworten oder Informationen hinsichtlich der gemeinsamen Verantwortlichkeit an die Aufsichtsbehörde weitergeben. Darüber hinaus arbeiten die Parteien zusammen und unterstützen sich gegenseitig im Falle von Anfragen oder Nachprüfungen durch eine Aufsichtsbehörde.