Durch die Zustimmung zu den Bedingungen der Vereinbarung, die sich auf dieses Beiblatt zur Datenverarbeitung („DPA“) beziehen, stimmen Sie („Abonnent“) den hier dargelegten Bedingungen zu, die durch Verweis in die Vereinbarung aufgenommen werden.

ERWÄGUNGEN

Bentley und der Abonnent, im eigenen Namen und im Namen seiner verbundenen Unternehmen, haben ein oder mehrere Bestellformulare, Verträge und/oder Vereinbarungen („Vereinbarung“) abgeschlossen, gemäß denen Bentley zugestimmt hat, Software und/oder Produkte zu lizenzieren und/oder Dienstleistungen für den Abonnenten zu erbringen, wie in der Vereinbarung beschrieben (zusammen die „Dienste“). Großgeschriebene Begriffe, die in diesem DPA verwendet, aber nicht anderweitig definiert werden, haben die ihnen in der Vereinbarung zugewiesene Bedeutung. Im Falle eines Widerspruchs zwischen den Bestimmungen dieses DPA und den Bestimmungen der Vereinbarung haben die Bestimmungen dieses DPA in Bezug auf einen solchen Widerspruch Vorrang. Die Vereinbarung umfasst alle Anlagen, Zeitpläne, Anhänge, Arbeitsbeschreibungen oder sonstige Zusätze, die Teil der Vereinbarung sind oder in diese aufgenommen wurden, einschließlich dieses DPA.

Durch die Ausführung der Vereinbarung schließt der Abonnent dieses DPA in seinem eigenen Namen und, soweit nach den geltenden Datenschutzgesetzen und -vorschriften erforderlich, im Namen und im Auftrag seiner verbundenen Unternehmen ab, wenn und soweit Bentley personenbezogene Daten verarbeitet, für die diese verbundenen Unternehmen als Verantwortliche gelten. Nur für die Zwecke dieses DPA und sofern nicht anders angegeben, umfasst der Begriff „Abonnent“ den Abonnenten und verbundene Unternehmen.

Im Rahmen der Erbringung der Dienste für den Abonnenten gemäß der Vereinbarung kann Bentley personenbezogene Daten im Namen des Abonnenten verarbeiten, und die Parteien verpflichten sich, die folgenden Bestimmungen in Bezug auf personenbezogene Daten einzuhalten, wobei jede Partei nach Treu und Glauben handelt.

1. DEFINITIONEN

„Verbundenes Unternehmen“ bezeichnet jede Entität, die die betreffende Entität direkt oder indirekt kontrolliert, von ihr kontrolliert wird oder mit ihr unter gemeinsamer Kontrolle steht. „Kontrolle“ im Sinne dieser Definition bedeutet direktes oder indirektes Eigentum oder Kontrolle von mehr als 50 % der Stimmrechtsanteile des betreffenden Unternehmens.

„CCPA“ steht für den California Consumer Privacy Act (kalifornisches Gesetz zum Schutz der Privatsphäre der Verbraucher), Cal. Civ. Code, § 1798.100 f. und seine Durchführungsbestimmungen.

„Verantwortlicher“ bezeichnet die Entität, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt.

„Datenschutzverletzung“ bezeichnet eine Sicherheitsverletzung, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Änderung, zur unbefugten Offenlegung von oder zum Zugriff auf personenbezogene Daten führt, die von Bentley gemäß der Vereinbarung übermittelt, gespeichert oder anderweitig verarbeitet werden.

„Datenschutzgesetze und -vorschriften“ bezeichnet alle Gesetze und Vorschriften, einschließlich der Gesetze und Vorschriften, die für die Verarbeitung personenbezogener Daten im Rahmen der Vereinbarung in der jeweils gültigen Fassung gelten. Zur Vermeidung von Zweifeln sei darauf hingewiesen, dass, wenn Bentleys Verarbeitungstätigkeiten in Bezug auf personenbezogene Daten nicht in den Anwendungsbereich eines bestimmten Datenschutzgesetzes fallen, dieses Gesetz für die Zwecke dieses DPA nicht anwendbar ist.

„Betroffene Person“ bezeichnet die identifizierte oder identifizierbare Person, auf die sich die personenbezogenen Daten beziehen.

„DSGVO“ bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), einschließlich der nach dem Recht des Vereinigten Königreichs umgesetzten oder angenommenen Bestimmungen.

„Personenbezogene Daten“ bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

„Verarbeitung“ bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, das Organisieren, das Ordnen, das Speichern, das Anpassen oder Verändern, das Auslesen, das Abfragen, das Verwenden, das Offenlegen durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, das Abgleichen oder Verknüpfen, das Einschränken, das Löschen oder das Vernichten.

„Auftragsverarbeiter“ bezeichnet die Entität, die personenbezogene Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet, gegebenenfalls einschließlich aller „Dienstanbieter“, wie dieser Begriff im CCPA definiert ist.

„Dienste“ bezeichnet die von Bentley für den Abonnenten und die verbundenen Unternehmen des Abonnenten im Rahmen der Vereinbarung bereitgestellten Dienstleistungen und Produkte.

„Abonnent“ bezeichnet die Entität, die die Vereinbarung zusammen mit ihren verbundenen Unternehmen unterzeichnet hat (solange sie verbundene Unternehmen bleiben und berechtigt sind, die von Bentley im Rahmen der Vereinbarung bereitgestellten Dienste zu nutzen).

„EU-Standardvertragsklauseln“ bezeichnet die Standardvertragsklauseln gemäß dem Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, hier abrufbar, in der jeweils geänderten oder ersetzten Fassung.

„Unterauftragsverarbeiter“ bezeichnet jeden von Bentley oder den verbundenen Unternehmen von Bentley im Namen von Bentley beauftragten Auftragsverarbeiter.

„Aufsichtsbehörde“ bezeichnet eine unabhängige öffentliche Behörde, die von einem EU-Mitgliedstaat gemäß der DSGVO eingerichtet wurde, oder für das Vereinigte Königreich das Information Commissioner’s Office („ICO“).

„UK International Data Transfer Agreement“ bezeichnet das International Data Transfer Addendum zu den Standardvertragsklauseln der EU-Kommission, herausgegeben vom UK Information Commissioner, Version B1.0, in Kraft seit dem 21. März 2022, in der jeweils geänderten oder ersetzten Fassung.

„US-Datenschutzgesetze der Bundesstaaten“ bezeichnet alle Gesetze der Bundesstaaten, die sich auf den Schutz und die Verarbeitung personenbezogener Daten beziehen und in den Vereinigten Staaten von Amerika in Kraft sind; dazu können unter anderem der CCPA, der Virginia Consumer Data Protection Act, der Colorado Privacy Act, der Connecticut Data Privacy Act und der Utah Consumer Privacy Act gehören.

2. VERARBEITUNG PERSONENBEZOGENER DATEN

2.1.      Rollen der Parteien. Die Parteien erkennen an und vereinbaren, dass in Bezug auf die Verarbeitung personenbezogener Daten der Abonnent der Verantwortliche und Bentley der Auftragsverarbeiter ist und dass Bentley Unterauftragsverarbeiter gemäß den in Abschnitt 5 „Unterauftragsverarbeiter“ unten dargelegten Anforderungen einsetzen wird. In Bezug auf Kontodaten und Nutzungsdaten handelt Bentley als unabhängiger Verantwortlicher und verarbeitet diese Daten, um die Dienste bereitzustellen, abzusichern, zu unterstützen und zu verbessern, die lizenzierte Nutzung zu überprüfen sowie für damit verbundene berechtigte Geschäftszwecke, in Übereinstimmung mit den Datenschutzgesetzen und -vorschriften und der Datenschutzerklärung von Bentley. „Kontodaten“ bezeichnet personenbezogene Daten, die zur Registrierung, Authentifizierung und Verwaltung der Anwender des Abonnenten verwendet werden (wie Name, geschäftliche Kontaktdaten und Anmeldedaten); „Nutzungsdaten“ bezeichnet personenbezogene Daten, die durch die Interaktion der Anwender mit den Diensten erzeugt werden (wie Protokoll-, Telemetrie-, Funktionsnutzungs- und Sitzungsdaten). Bentley kann außerdem anonymisierte oder aggregierte Daten erstellen und verwenden, die keine betroffene Person mehr identifizieren und die für die Zwecke dieses DPA keine personenbezogenen Daten darstellen. 

2.2.      Verarbeitung von personenbezogenen Daten durch den Abonnenten. Der Abonnent ist verpflichtet, bei der Nutzung der Dienste personenbezogene Daten in Übereinstimmung mit den Anforderungen der Datenschutzgesetze und -vorschriften zu verarbeiten, einschließlich aller geltenden Anforderungen zur Benachrichtigung der betroffenen Personen über die Inanspruchnahme von Bentley als Auftragsverarbeiter. Um Zweifel auszuschließen, müssen die Anweisungen des Abonnenten für die Verarbeitung personenbezogener Daten den Datenschutzgesetzen und -vorschriften entsprechen. Der Abonnent ist allein verantwortlich für die Richtigkeit, Qualität und Rechtmäßigkeit (i) der personenbezogenen Daten, die Bentley von oder im Namen des Abonnenten zur Verfügung gestellt werden, (ii) der Mittel, mit denen der Abonnent die personenbezogenen Daten erworben hat, und (iii) der Anweisungen, die er Bentley erteilt. Der Abonnent darf Bentley keine personenbezogenen Daten zur Verfügung stellen, die gegen die Vereinbarung verstoßen oder anderweitig für die Art der Dienste unangemessen sind, und stellt Bentley von allen Ansprüchen und Verlusten im Zusammenhang mit der Verletzung geltender Datenschutzgesetze und -vorschriften durch den Abonnenten frei.

2.3.      Verarbeitung personenbezogener Daten durch Bentley. Bentley behandelt personenbezogene Daten als vertrauliche Informationen und verarbeitet personenbezogene Daten im Auftrag und nur in Übereinstimmung mit den dokumentierten Anweisungen des Abonnenten, es sei denn, Bentley ist aufgrund gesetzlicher Vorschriften zu etwas anderem verpflichtet, und zwar zu folgenden Zwecken: (i) Verarbeitung in Übereinstimmung mit der Vereinbarung und dem/den Bestellformular(en); (ii) Verarbeitung auf Veranlassung von Anwendern bei der Nutzung der Dienste; (iii) Verarbeitung zur Erfüllung anderer dokumentierter angemessener Anweisungen des Abonnenten (z. B. per E-Mail), sofern diese Anweisungen mit den Bedingungen der Vereinbarung übereinstimmen, und (iv) Verarbeitung in Übereinstimmung mit den Datenschutzgesetzen und -vorschriften. Falls Bentley einer gesetzlichen Verpflichtung unterliegt, wird Bentley den Abonnenten über diese gesetzliche Verpflichtung informieren, es sei denn, das Gesetz verbietet dies. Der Abonnent weist Bentley hiermit an, personenbezogene Daten in Übereinstimmung mit dem Vorstehenden und im Rahmen der Nutzung der Dienste durch den Abonnenten zu verarbeiten. Wenn Bentley der Auffassung ist, dass eine Anweisung gegen die Datenschutzgesetze und -vorschriften verstößt, wird Bentley den Abonnenten informieren und kann die betroffene Verarbeitung aussetzen, bis der Abonnent die Anweisung schriftlich bestätigt oder ändert.

2.4.      Rolle von Bentley als Dienstanbieter gemäß den US-Datenschutzgesetzen der Bundesstaaten. Die Parteien erkennen an und vereinbaren, dass Bentley für die Zwecke des CCPA und aller anwendbaren US-Datenschutzgesetze der Bundesstaaten ein Dienstanbieter ist und personenbezogene Daten vom Abonnenten gemäß der Vereinbarung zu einem geschäftlichen Zweck erhält. Bentley wird solche personenbezogenen Daten weder verkaufen noch weitergeben und keine vom Abonnenten gemäß der Vereinbarung bereitgestellten personenbezogenen Daten aufbewahren, verwenden oder offenlegen, außer soweit dies für die Erbringung der Dienste erforderlich oder anderweitig in der Vereinbarung festgelegt oder nach den geltenden US-Datenschutzgesetzen zulässig ist. Bentley bestätigt, dass es die Beschränkungen dieses Abschnitts versteht. Die vorstehenden Begriffe „Dienstanbieter“ und „verkaufen“ sind so auszulegen, dass sie die entsprechenden Begriffe nach dem jeweils anwendbaren US-Datenschutzgesetz des Bundesstaates einschließen.

2.5.      Einzelheiten der Verarbeitung. Der Gegenstand der Verarbeitung personenbezogener Daten durch Bentley ist die Erbringung der Dienstleistungen gemäß der Vereinbarung. Die Dauer der Verarbeitung, die Art und der Zweck der Verarbeitung, die Arten der personenbezogenen Daten und die Kategorien der betroffenen Personen, die im Rahmen dieses DPA verarbeitet werden, sowie Informationen über die Übermittlung personenbezogener Daten gemäß den Anhängen I und II der EU-Standardvertragsklauseln (falls zutreffend) sind in Anhang 2 dieses DPA aufgeführt.

3. RECHTE DER BETROFFENEN PERSONEN

Antrag der betroffenen Person. Bentley wird, soweit gesetzlich zulässig, den Abonnenten unverzüglich benachrichtigen, wenn Bentley eine Anfrage einer betroffenen Person erhält, um das Recht der betroffenen Person auf Auskunft, Berichtigung, Einschränkung der Verarbeitung, Löschung („Recht auf Vergessenwerden“), Datenübertragbarkeit, Widerspruch gegen die Verarbeitung oder ihr Recht, keiner automatisierten Einzelentscheidung unterworfen zu werden, auszuüben, wobei jede solche Anfrage eine „Anfrage der betroffenen Person“ ist. In Anbetracht der Art der Verarbeitung unterstützt Bentley den Abonnenten durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung der Verpflichtung des Abonnenten, auf eine Anfrage der betroffenen Person gemäß den Datenschutzgesetzen und -vorschriften zu antworten.

4. PERSONAL VON BENTLEY

4.1.      Vertraulichkeit. Bentley stellt sicher, dass seine Mitarbeitenden, die mit der Verarbeitung personenbezogener Daten befasst sind, über die Vertraulichkeit der personenbezogenen Daten unterrichtet sind, eine angemessene Schulung zu ihren Verantwortlichkeiten erhalten haben und schriftliche Geheimhaltungsvereinbarungen unterzeichnet haben. Bentley stellt sicher, dass diese Vertraulichkeitsverpflichtungen auch nach Beendigung des Arbeitsverhältnisses bestehen bleiben.

4.2.      Einschränkung des Zugriffs. Bentley stellt sicher, dass der Zugriff von Bentley auf personenbezogene Daten auf das Personal beschränkt ist, das die Dienstleistungen in Übereinstimmung mit der Vereinbarung erbringt.

4.3.      Datenschutzbeauftragter. Bentley hat einen Datenschutzbeauftragten ernannt. Die ernannte Person kann unter dpo@bentley.com erreicht werden.

5. UNTERAUFTRAGSVERARBEITER

5.1.      Ernennung von Unterauftragsverarbeitern. Der Abonnent erkennt an und erklärt sich damit einverstanden, dass (a) die verbundenen Unternehmen von Bentley als Unterauftragsverarbeiter eingesetzt werden können und (b) Bentley bzw. die verbundenen Unternehmen von Bentley im Zusammenhang mit der Bereitstellung der Dienste Unterauftragsverarbeiter von Dritten beauftragen können. Bentley oder ein verbundenes Unternehmen von Bentley hat mit jedem Unterauftragsverarbeiter einen schriftlichen Vertrag abgeschlossen, der Datenschutzverpflichtungen enthält, die nicht weniger schützend sind als die in diesem DPA in Bezug auf den Schutz der personenbezogenen Daten des Abonnenten, soweit dies für die Art der von diesem Unterauftragsverarbeiter erbrachten Dienste gilt.

5.2.      Liste der derzeitigen Unterauftragsverarbeiter, Meldung neuer Unterauftragsverarbeiter und Zustimmungsmechanismus. Bentley wird dem Abonnenten die aktuelle Liste der Unterauftragsverarbeiter für die Dienste zur Verfügung stellen. Der Abonnent kann eine gepflegte Liste der Unterauftragsverarbeiter online hier finden. Der Abonnent ermächtigt Bentley und die verbundenen Unternehmen von Bentley hiermit allgemein, neue Unterauftragsverarbeiter in Übereinstimmung mit diesem Abschnitt 5 zu entfernen oder hinzuzufügen. Neue Unterauftragsverarbeiter, die auf die personenbezogenen Daten des Abonnenten zugreifen, müssen vom Abonnenten über den folgenden Zustimmungsmechanismus genehmigt werden:

• (i) Bentley benachrichtigt den Abonnenten mindestens dreißig (30) Tage vor der Autorisierung eines neuen Unterauftragsverarbeiters für den Zugriff auf personenbezogene Daten, indem der Unterauftragsverarbeiter in der Liste online im Trust Center von Bentley aktualisiert wird.
• Erhebt der Abonnent innerhalb dieser dreißig (30) Tage keine angemessenen Einwände bei Bentley, so gilt dies als Zustimmung des Abonnenten zum neuen Unterauftragsverarbeiter.
• Wenn der Abonnent begründete Einwände erhebt, hat Bentley das Recht, den betroffenen Dienst gegenüber dem Abonnenten mit einer Frist von vierzehn (14) Tagen zu kündigen, es sei denn, Bentley beschließt, (a) den Dienst ohne die Einschaltung des Unterauftragsverarbeiters, gegen den der Abonnent Einwände erhoben hat, fortzusetzen, (b) ausreichende Maßnahmen zu ergreifen, um die in den Einwänden des Abonnenten geäußerten Bedenken auszuräumen, oder (c) im Einvernehmen mit dem Abonnenten die Bereitstellung des bestimmten Aspekts des Dienstes, der den Einsatz des Unterauftragsverarbeiters beinhaltet, (vorübergehend oder dauerhaft) einzustellen. Jeder Unterauftragsverarbeiter ist an Datenschutzverpflichtungen gebunden, die mit denen in dieser Vereinbarung übereinstimmen.

5.3.      Haftung. Bentley haftet für die Handlungen und Unterlassungen seiner Unterauftragsverarbeiter in demselben Umfang, in dem Bentley haften würde, wenn es die Dienste des jeweiligen Unterauftragsverarbeiters gemäß den Bedingungen dieses DPA direkt ausführen würde, sofern in der Vereinbarung nichts anderes festgelegt ist.

6. SICHERHEIT

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie der unterschiedlichen Wahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen unterhält Bentley geeignete technische und organisatorische Maßnahmen, um ein dem Risiko der Verarbeitung personenbezogener Daten angemessenes Sicherheitsniveau zu gewährleisten. Bentley muss mindestens:

• Richtlinien und Standards für die Informationssicherheit verabschieden,
• Verantwortung für das Management der Informationssicherheit zuweisen,
• Personalressourcen in angemessenem Umfang für die Informationssicherheit bereitstellen,
• Referenz- oder Hintergrundüberprüfungen bei fest angestellten Mitarbeitenden durchführen, die Zugang zu personenbezogenen Daten haben sollen, und soweit dies für die Einhaltung von Vorschriften erforderlich ist (soweit dies in der jeweiligen Rechtsordnung praktikabel und rechtmäßig ist),
• alle Mitarbeitenden von Bentley zur Einhaltung einer schriftlichen Informationssicherheitspolitik verpflichten,
• Verfahren zur Verhinderung des unbefugten Zugriffs auf personenbezogene Daten durch den Einsatz von physischen und logischen Zugangskontrollen, sicheren Bereichen für die Verarbeitung und Instrumenten zur Verhinderung von Datenverlusten einrichten,
• die Einhaltung von Strategien und Standards im Bereich des Datenschutzes kontinuierlich sicherstellen.

Bentley ist berechtigt, die technischen und organisatorischen Maßnahmen nach eigenem Ermessen zu ändern, sofern dadurch das allgemeine Sicherheitsniveau der Dienste nicht beeinträchtigt wird. Weitere Informationen zu den technischen und organisatorischen Maßnahmen von Bentley finden Sie im Trust Center von Bentley, das von Zeit zu Zeit aktualisiert wird.

7. RECHT DES ABONNENTEN AUF PRÜFUNG

Bentley wird Prüfungen, einschließlich Inspektionen, die vom Abonnenten oder einem vom Abonnenten beauftragten Prüfer durchgeführt werden, ermöglichen und dazu beitragen; der Abonnent erklärt sich damit einverstanden, diese wie folgt auszuüben. Für die Dauer dieses DPA stellt Bentley dem Abonnenten auf dessen Anfrage, höchstens einmal pro Kalenderjahr und vorbehaltlich einer Geheimhaltungsvereinbarung, den aktuellsten von einem unabhängigen Prüfer erstellten Prüfbericht zur Verfügung, damit der Abonnent die Einhaltung der Datenschutzverpflichtungen durch Bentley in angemessener Weise überprüfen kann. Der Abonnent erklärt sich damit einverstanden, alle ihm gegebenenfalls zustehenden Prüf- und Inspektionsrechte ausschließlich durch die Anforderung und Durchsicht dieses Prüfberichts auszuüben. Nachdem der Abonnent das Vorstehende geprüft hat, muss der Abonnent Bentley, falls weitere Informationen erforderlich sind, um die Einhaltung der Datenschutzverpflichtungen von Bentley nachzuweisen, schriftlich benachrichtigen und dabei konkret angeben, für welche Verpflichtung der Bericht die Einhaltung nicht nachweist, worin der Mangel des Prüfberichts besteht und zu welchen Bereichen zusätzliche Informationen angefordert werden. Nach der Prüfung kann Bentley seinen unabhängigen Prüfer über die festgestellten Mängel informieren, damit diese in seine Prüfverfahren aufgenommen werden. Nach Ermessen von Bentley wird Bentley angemessene Anstrengungen unternehmen, um dem nachzukommen, und dem Abonnenten (entweder ihm selbst oder einem registrierten akkreditierten Prüfer, der im Auftrag des Abonnenten handelt und Geheimhaltungsverpflichtungen unterliegt) Zugang zu zusätzlichen Richtlinien, Verfahren, Prozessen und/oder Nachweisen gewähren, die den Betrieb der Kontrollen belegen. Der Abonnent hat Bentley mindestens 30 Tage im Voraus zu benachrichtigen, darf keine Kopien zusätzlicher Dokumentation aufbewahren oder anfertigen und darf den Geschäftsbetrieb von Bentley nicht unangemessen beeinträchtigen. Der Abonnent trägt sämtliche Kosten einer solchen Prüfung; zusätzliche Gebühren zum Ausgleich der Bentley entstandenen Kosten können anfallen.

8. VERWALTUNG UND BENACHRICHTIGUNG BEI DATENSCHUTZVERLETZUNGEN

Bentley verpflichtet sich, den Abonnenten unverzüglich zu benachrichtigen, sobald eine Datenschutzverletzung entdeckt wird. Im Zuge der Benachrichtigung des Abonnenten stellt Bentley dem Abonnenten, soweit möglich, ausreichende Informationen zur Verfügung, damit der Abonnent alle erforderlichen Benachrichtigungen innerhalb der von den Datenschutzgesetzen und -vorschriften vorgesehenen Fristen vornehmen kann. Diese Informationen können Folgendes umfassen, sind aber nicht notwendigerweise darauf beschränkt: (i) die Art der Datenschutzverletzung sowie die Kategorien und die ungefähre Anzahl der betroffenen Personen und der betroffenen personenbezogenen Datensätze; (ii) die wahrscheinlichen Folgen der Datenschutzverletzung, soweit die Folgen bestimmt werden können; und (iii) alle Maßnahmen, die zur Behebung oder Milderung der Datenschutzverletzung ergriffen wurden.

9. RÜCKGABE UND LÖSCHUNG VON PERSONENBEZOGENEN DATEN

Bentley bewahrt personenbezogene Daten, die vom Abonnenten erhalten oder im Namen des Abonnenten erstellt wurden, nur so lange auf, wie dies zur Erbringung der Dienste im Rahmen der Vereinbarung erforderlich ist oder anderweitig nach geltendem Recht verlangt wird. Auf Anfrage des Abonnenten erklärt sich Bentley bereit, die gemäß der Vereinbarung erhaltenen oder erstellten personenbezogenen Daten zurückzugeben oder zu vernichten, soweit dies nach geltendem Recht zulässig ist. Bentley löscht diese personenbezogenen Daten standardmäßig und gibt sie nur auf eine vor der Löschung erteilte schriftliche Anweisung des Abonnenten hin zurück. Bentley ist nicht verpflichtet, personenbezogene Daten zu löschen, die in routinemäßigen Sicherungs- oder Archivmedien gespeichert sind (und im gewöhnlichen Geschäftsgang gelöscht werden) oder die Bentley gesetzlich aufbewahren muss; Bentley darf anonymisierte oder aggregierte Daten, die keine personenbezogenen Daten mehr darstellen, aufbewahren und verwenden. Bentley bestätigt die Löschung auf Anfrage schriftlich.

10. HAFTUNGSBESCHRÄNKUNG

Die Gesamthaftung des Abonnenten und von Bentley (und ihrer jeweiligen Mitarbeitenden, Vorstandsmitglieder, Führungskräfte, verbundenen Unternehmen, Rechtsnachfolger und Abtretungsempfänger), die sich aus diesem DPA ergibt oder damit zusammenhängt, unabhängig davon, ob es sich um einen Vertrag, eine unerlaubte Handlung oder eine andere Haftungstheorie handelt, unterliegt dem Abschnitt „Haftungsbeschränkung“ der Vereinbarung, und jeder Verweis in diesem Abschnitt auf die Haftung einer Partei bedeutet die Gesamthaftung dieser Partei und aller ihrer verbundenen Unternehmen im Rahmen der Vereinbarung und aller DPAs zusammen.

11. BESONDERE EUROPÄISCHE BESTIMMUNGEN

11.1.    DSGVO. Bentley verarbeitet personenbezogene Daten in Übereinstimmung mit den DSGVO-Anforderungen, die für die Erbringung der Dienstleistungen von Bentley unmittelbar gelten.

11.2.    Datenschutz-Folgenabschätzung. Bentley unterstützt den Abonnenten in angemessenem Umfang bei Datenschutz-Folgenabschätzungen und/oder vorherigen Konsultationen, die in Bezug auf die im Rahmen der Vereinbarung durchgeführten Verarbeitungen erforderlich sein können, soweit dies gemäß der DSGVO erforderlich ist.

11.3.    Benachrichtigung über die Inspektion. Bentley verpflichtet sich, den Abonnenten über jede Inspektion oder Prüfung durch eine Aufsichtsbehörde bezüglich der Einhaltung von Datenschutzgesetzen und -vorschriften zu informieren, soweit diese mit den im Rahmen dee Vereinbarung erbrachten Diensten in Zusammenhang stehen. Bentley wird auf Anfrage des Abonnenten in angemessenem Umfang mit den zuständigen Aufsichtsbehörden zusammenarbeiten.

11.4.    Übermittlungsmechanismen für Datenübermittlungen. Bentley stellt den in Anhang 1 aufgeführten Übermittlungsmechanismus zur Verfügung, der für alle Übermittlungen personenbezogener Daten im Rahmen dieses DPA aus der Europäischen Union, dem Europäischen Wirtschaftsraum und/oder ihren Mitgliedstaaten, der Schweiz und dem Vereinigten Königreich in Länder gilt, die kein angemessenes Datenschutzniveau im Sinne der Datenschutzgesetze und -vorschriften der vorgenannten Gebiete gewährleisten, soweit diese Übermittlungen diesen Datenschutzgesetzen und -vorschriften unterliegen. Darüber hinaus enthält Anhang 1 zusätzliche Bedingungen für die Anwendung der darin festgelegten Übermittlungsmechanismen.

12. SONSTIGES

12.1.    Rechtswirkung. Dieses DPA kann in mehreren Exemplaren ausgefertigt werden, wobei jedes Exemplar als Original gilt, alle Exemplare zusammen jedoch als ein und dieselbe Vereinbarung betrachtet werden. Eine unterzeichnete Kopie dieses DPA, die per Fax, E-Mail oder auf anderem elektronischem Wege übermittelt wird (und der eine unterzeichnete PDF-Kopie angehängt ist), hat dieselbe Rechtswirkung wie die Übermittlung einer unterzeichneten Originalkopie dieses DPA.

12.2.    Rechtsprechungsspezifischer Begriff. Soweit Bentley personenbezogene Daten verarbeitet, die aus einem der in Anhang 5 (Rechtsprechungsspezifische Bestimmungen) dieses DPA aufgeführten Länder stammen und dort durch Datenschutzgesetze und -vorschriften geschützt sind, gelten die in Anhang 5 aufgeführten Bestimmungen in Bezug auf die anwendbare(n) Rechtsprechung(en) zusätzlich zu den Bestimmungen dieses DPA.

12.3.    Widerspruch. Im Falle eines Widerspruchs oder einer Unstimmigkeit zwischen dem Hauptteil dieses DPA (einschließlich aller seiner Anhänge und Anlagen, die nicht zu den EU-Standardvertragsklauseln gehören) und den EU-Standardvertragsklauseln haben die EU-Standardvertragsklauseln Vorrang.

Liste der Anhänge

Anhang 1: Übermittlungsmechanismen und zusätzliche Bedingungen für europäische Datenübermittlungen

Anhang 2: Details der Verarbeitung und Übermittlung personenbezogener Daten

Anhang 3: SCC-Matrix

Anhang 4: Kontaktdaten der Parteien und Angabe der zuständigen Aufsichtsbehörde

Anhang 5: Gerichtsspezifische Bestimmungen

ANHANG 1 - ÜBERMITTLUNGSMECHANISMEN UND ZUSÄTZLICHE BEDINGUNGEN FÜR EUROPÄISCHE DATENÜBERMITTLUNGEN

In diesem Anhang 1 sind die Übermittlungsmechanismen für die Übermittlung personenbezogener Daten des Abonnenten, die den geltenden Datenschutzgesetzen in der Europäischen Union, dem Europäischen Wirtschaftsraum und/oder ihren Mitgliedstaaten, der Schweiz und dem Vereinigten Königreich unterliegen, an Bentley Systems, Incorporated als Ansprechpartner („Europäische Datenübermittlungen“) sowie zusätzliche Bestimmungen über den Umfang und die Anwendung dieser Übermittlungsmechanismen bei der Nutzung der von Bentley bereitgestellten Dienste festgelegt.

Europäische Datenübermittlungen

Dieser Abschnitt gilt für die Übermittlung der personenbezogenen Daten des Abonnenten an Bentley Systems, Incorporated bei der Nutzung der Bentley-Dienste, sofern die Übermittlung dieser personenbezogenen Daten der DSGVO unterliegt.

1.1 Anwendung der EU-Standardvertragsklauseln

Falls personenbezogene Daten des Abonnenten, die der DSGVO unterliegen, an Bentley Systems, Incorporated übermittelt werden, unterliegt eine solche Übermittlung den EU-Standardvertragsklauseln. Die EU-Standardvertragsklauseln enthalten mehrere Module, die je nachdem, welche Einrichtung die personenbezogenen Daten des Abonnenten exportiert und importiert, Anwendung finden.

• Wenn die Vertragspartei dieses DPA Bentley Systems International Limited ist, gilt Modul 3 der EU-Standardvertragsklauseln (Übermittlung von Auftragsverarbeiter an Auftragsverarbeiter) für und zwischen Bentley Systems International Limited als „Datenexporteur“ und Bentley Systems, Incorporated als „Datenimporteur“ in Bezug auf die Übermittlung der personenbezogenen Daten des Abonnenten an Bentley Systems, Incorporated. Bentley stellt dem Abonnenten auf Anfrage eine Kopie der zwischen Bentley Systems International Limited und Bentley Systems, Incorporated geschlossenen EU-Standardvertragsklauseln zur Verfügung.
• Wenn die Vertragspartei dieses DPA Bentley Systems, Incorporated ist, gilt Modul 2 der EU-Standardvertragsklauseln (Verantwortlicher an Auftragsverarbeiter) für und zwischen dem Abonnenten als „Datenexporteur“ und Bentley Systems, Incorporated als „Datenimporteur“ in Bezug auf die Übermittlung der personenbezogenen Daten des Abonnenten an Bentley Systems, Incorporated. In diesem Fall muss der Abonnent das in Abschnitt 1.2. dieses Anhangs 1 definierte Ausführungsverfahren einhalten.

1.2. Ausführungsprozess für Modul 2 der EU-Standardvertragsklauseln

Falls Modul 2 der EU-Standardvertragsklauseln, wie in Abschnitt 1.1 dieses Anhangs 1 definiert, Anwendung findet, muss der Abonnent den folgenden Ausführungsprozess einhalten:

Anhang 3 enthält eine Matrix („SCC-Matrix“), in der angegeben ist, welche der in Modul 2 der EU-Standardvertragsklauseln vorgesehenen Optionen anwendbar sind und wo die in den Anhängen der EU-Standardvertragsklauseln geforderten Informationen zur Übermittlung personenbezogener Daten im DPA definiert sind. Die Unterzeichnung des DPA auf Seite 8 gilt als Unterzeichnung und Annahme von Modul 2 der EU-Standardvertragsklauseln einschließlich ihrer Appendices und Anhänge gemäß den in der SCC-Matrix festgelegten Spezifikationen. Der Abonnent muss außerdem die Informationen in Anhang 4 vervollständigen.

1.3.Ergänzende Maßnahmen

Bentley ergreift die folgenden zusätzlichen Maßnahmen, um ein angemessenes Schutzniveau gemäß Artikel 44 ff. DSGVO für die an Bentley Systems, Incorporated übermittelten personenbezogenen Daten des Abonnenten zu gewährleisten, vorausgesetzt, Bentley ist nach geltendem Recht nicht daran gehindert, diese zusätzlichen Maßnahmen einzuhalten:

• Bentley benachrichtigt den Abonnenten unverzüglich, wenn eine Behörde Zugriff auf die personenbezogenen Daten des Abonnenten verlangt. Sollte Bentley aufgrund des geltenden Rechts daran gehindert sein, den Abonnenten zu benachrichtigen, sorgt Bentley unverzüglich dafür, dass die Übermittlung personenbezogener Daten in das Land, das den Zugriff beantragt hat, eingestellt wird, und benachrichtigt den Abonnenten, dass dies der Fall war. Die Parteien nehmen Gespräche darüber auf, wie die Situation entschärft werden kann.
• Bentley ergreift unverzüglich alle verfügbaren Rechtsmittel gegen Datenzugriffsanfragen von Behörden und gibt keine personenbezogenen Daten weiter, bis dies durch eine rechtskräftige Gerichtsentscheidung angeordnet wird.
• Bentley unterstützt den Abonnenten durch Bereitstellung von Informationen im angemessenen Umfang, wenn der Abonnent beschließt, die betroffenen Personen zu informieren, wenn ihre personenbezogenen Daten von einem Antrag auf Datenzugriff durch eine Behörde betroffen sind.
• Bentley stellt dem Abonnenten regelmäßig einen Transparenzbericht über die von Behörden erhaltenen Anträge auf Zugriff auf personenbezogene Daten in zusammengefasster Form zur Verfügung, der mindestens Informationen über die Anzahl der Datenanfragen, die Art der angeforderten Daten, die anfragende Behörde und den Umfang, in dem Bentley personenbezogene Daten an solche Behörden weitergegeben hat, enthält.
• Bentley überwacht ständig alle rechtlichen oder politischen Entwicklungen, die dazu führen könnten, dass Bentley nicht in der Lage ist, die Verpflichtungen aus den EU-Standardvertragsklauseln einzuhalten, und informiert den Abonnenten unverzüglich über solche Änderungen und Entwicklungen.
• Bentley bestätigt hiermit, dass Bentley nicht absichtlich Backdoor-Programme oder ähnliche Programme erstellt hat, die für den Zugriff auf die Systeme von Bentley und/oder die darin gespeicherten personenbezogenen Daten des Abonnenten verwendet werden könnten.

Weitere Informationen zu den zusätzlichen Schutzmaßnahmen sind auf Anfrage erhältlich.

ANHANG 2 - DETAILS DER VERARBEITUNG UND ÜBERMITTLUNG PERSONENBEZOGENER DATEN

In diesem Anhang 2 sind die Informationen über die Verarbeitung und die Übermittlung personenbezogener Daten gemäß Abschnitt 2.5 des DPA aufgeführt.

Beschreibung der Verarbeitungstätigkeiten und der Rollen der Vertragsparteien

Die Nutzung der Dienste von Bentley durch den Abonnenten beinhaltet die Verarbeitung personenbezogener Daten durch Bentley im Namen des Abonnenten. Jegliche Verarbeitung der personenbezogenen Daten des Abonnenten wird von Bentley als Auftragsverarbeiter durchgeführt, wobei der Abonnent als Verantwortlicher agiert.

Die Verarbeitung der personenbezogenen Daten des Abonnenten durch Bentley umfasst die Erhebung, Übermittlung, Speicherung und andere Verarbeitungstätigkeiten, die erforderlich sind, um die von Bentley für den Abonnenten über die Systeme von Bentley bereitgestellten Dienste zu erbringen, zu warten und zu aktualisieren. Alle personenbezogenen Daten, die in den Systemen von Bentley bei der Nutzung der von Bentley bereitgestellten Dienste verarbeitet werden, werden an Server in den Vereinigten Staaten, die von Bentley Systems, Incorporated betrieben werden, übermittelt und dort gespeichert.

Art und Zweck der Verarbeitung

Bentley verarbeitet personenbezogene Daten in dem Maße, wie es für die Erbringung der Dienste gemäß der Vereinbarung erforderlich ist, wie es in der Dokumentation näher beschrieben ist und wie es vom Abonnenten bei der Nutzung der Dienste weiter angewiesen wird.

Dauer der Verarbeitung

Vorbehaltlich Abschnitt 9 des DPA verarbeitet Bentley personenbezogene Daten für die Dauer der Vereinbarung, es sei denn, es wurde schriftlich etwas anderes vereinbart.

Kategorien von betroffenen Personen

Der Abonnent kann personenbezogene Daten an die Dienste übermitteln, deren Umfang vom Abonnenten nach eigenem Ermessen bestimmt und kontrolliert wird und die personenbezogene Daten der folgenden Kategorien von betroffenen Personen enthalten können, aber nicht darauf beschränkt sind:

• Geschäftspartner und Anbieter des Abonnenten (die natürliche Personen sind)
• Angestellte, Vertreter, Berater, freiberufliche Mitarbeitende des Abonnenten (die natürliche Personen sind)
• Anwender des Abonnenten, die vom Abonnenten zur Nutzung der Dienste autorisiert wurden (natürliche Personen)

Kategorien personenbezogener Daten

Der Abonnent kann personenbezogene Daten an die Dienste übermitteln, deren Umfang vom Abonnenten nach eigenem Ermessen bestimmt und kontrolliert wird und die die folgenden Kategorien personenbezogener Daten umfassen können, aber nicht darauf beschränkt sind:

• Alle personenbezogenen Daten, die vom Abonnenten in der Cloud-Umgebung von Bentley gespeichert werden
• Personenbezogene Daten des Abonnenten, die im Zusammenhang mit der Vereinbarung in die Dienste hochgeladen wurden

Besondere Datenkategorien (falls zutreffend)

Nicht zutreffend.

Häufigkeit der Übermittlung

Die Nutzung der Bentley-Dienste durch den Abonnenten während der Laufzeit des Abonnements beinhaltet eine fortlaufende Übermittlung von personenbezogenen Daten.

Aufbewahrungsfristen

Bentley bewahrt die personenbezogenen Daten des Abonnenten während der Laufzeit des Abonnements auf. Wenn die Abonnementbedingungen des Abonnenten enden, stellt Bentley die Übermittlung und Verarbeitung der personenbezogenen Daten des Abonnenten ein und gibt diese personenbezogenen Daten gemäß den Bestimmungen dieses DPA zurück oder löscht sie.

Übermittlung an (Unter-) Auftragsverarbeiter

Bentley setzt bei der Bereitstellung seiner Dienste für den Abonnenten bestimmte (Unter-) Auftragsverarbeiter ein. Zu diesem Zweck kann ein solcher (Unter-) Auftragsverarbeiter auch die personenbezogenen Daten des Abonnenten verarbeiten. Weitere Informationen über die Funktion dieser (Unter-) Auftragsverarbeiter sowie über den Gegenstand, die Art und die Dauer der von diesen (Unter-) Auftragsverarbeitern durchgeführten Verarbeitung finden Sie im Trust Center von Bentley.

Technische und organisatorische Maßnahmen

Bentley unterhält administrative, physische und technische Sicherheitsvorkehrungen zum Schutz der Sicherheit, Vertraulichkeit und Integrität personenbezogener Daten, die im Zusammenhang mit der Erbringung der Dienste verarbeitet werden, wie im Trust Center von Bentley beschrieben oder anderweitig von Bentley in angemessener Weise zur Verfügung gestellt.

ANHANG 3 - SCC-MATRIX

Dieser Anhang 3 gilt nur, wenn Bentley Systems, Incorporated die Vertragspartei dieses DPA ist und Modul 2 der EU-Standardvertragsklauseln für und zwischen dem Abonnenten und Bentley Systems, Incorporated gemäß der Definition in Abschnitt 1.1 von Anhang 1 gilt. Anhang 3 gilt nicht, wenn Bentley Systems International Limited die Vertragspartei dieses DPA ist.

In diesem Anhang 3 sind die wählbaren Optionen sowie die erforderlichen Informationen über die Übermittlung in ein Drittland aufgeführt, die nach den EU-Standardvertragsklauseln erforderlich sind.

ANHANG 4 - KONTAKTDATEN DER PARTEIEN UND ANGABE DER ZUSTÄNDIGEN AUFSICHTSBEHÖRDE

Dieser Anhang 4 gilt nur, wenn Bentley Systems, Incorporated die Vertragspartei dieses DPA ist und Modul 2 der EU-Standardvertragsklauseln für und zwischen dem Abonnenten und Bentley Systems, Incorporated gemäß der Definition in Abschnitt 1.1 von Anhang 1 gilt. Anhang 4 gilt nicht, wenn Bentley Systems International Limited die Vertragspartei dieses DPA ist.

Dieser Anhang 4 enthält die Kontaktdaten des Datenexporteurs und des Datenimporteurs gemäß Anhang I der EU-Standardvertragsklauseln, soweit diese Informationen nicht bereits in diesem DPA und den anderen Anhängen 1 bis 3 aufgeführt sind, sowie die Identität der zuständigen Kontrollstelle gemäß Artikel 13 der EU-Standardvertragsklauseln.

Kontakt von Bentley Systems, Incorporated

Datenschutzbeauftragter
    dpo@bentley.com

Kontaktperson(en) des Abonnenten und/oder Datenschutzbeauftragte(r) (falls zutreffend)

Name: wie in der Vereinbarung angegeben

Funktion, Titel: wie in der Vereinbarung angegeben

Kontaktdaten: wie in der Vereinbarung angegeben

Vertreter des Abonnenten in der EU (falls zutreffend)

Name: wie in der Vereinbarung angegeben

Kontaktdaten: wie in der Vereinbarung angegeben

Identifizierung der zuständigen Aufsichtsbehörde(n) gemäß Klausel 13

Name: zuständige Aufsichtsbehörde in dem Land, in dem der Datenexport stattfindet, wie in der Vereinbarung näher definiert.

ANHANG 5 – GERICHTSSPEZIFISCHE BESTIMMUNGEN

Australien:

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst die Australian Privacy Principles (Australische Datenschutzgrundsätze) und das Australian Privacy Act (Australisches Datenschutzgesetz) von 1988.
• Die Definition von „personenbezogenen Daten“ umfasst „persönliche Informationen“, wie sie in den Datenschutzgesetzen und -vorschriften definiert sind.

Brasilien:

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst das Lei Geral de Proteção de Dados („LGPD“).
• Die Definition von „Datenschutzverletzung“ umfasst einen Sicherheitsvorfall, der zu einem relevanten Risiko oder Schaden für betroffene Personen führen kann.
• Die Definition von „Auftragsverarbeiter“ schließt „Betreiber“ gemäß der Definition im LGPD ein.

Kanada:

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst den Federal Personal Information Protection and Electronic Documents Act („PIPEDA“). In der Provinz Québec umfasst die Definition außerdem das Gesetz über den Schutz personenbezogener Daten im privaten Sektor in der durch Gesetz 25 geänderten Fassung.
• Bentleys Unterauftragsverarbeiter, wie in Abschnitt 5 (Unterauftragsverarbeiter) dieses DPA beschrieben, sind Dritte im Sinne des PIPEDA, mit denen Bentley einen schriftlichen Vertrag abgeschlossen hat, der im Wesentlichen ähnliche Bedingungen wie dieses DPA enthält. Bentley hat eine entsprechende Sorgfaltsprüfung bei seinen Unterauftragsverarbeitern durchgeführt.

Israel:

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst das Gesetz zum Schutz der Privatsphäre („PPL“). Das PPL gilt in der durch Änderung Nr. 13 geänderten Fassung (in Kraft seit dem 14. August 2025).
• Die Definition des Begriffs „Verantwortlicher“ schließt den Begriff „Datenbankeigentümer“ gemäß der Definition im PPL ein.
• Die Definition von „Auftragsverarbeiter“ schließt den „Inhaber“ gemäß der Definition im PPL ein.

Japan:

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst das Gesetz über den Schutz personenbezogener Daten („APPI“).
• Die Definition von „personenbezogene Daten“ umfasst „persönliche Informationen“, wie sie im APPI definiert sind.
• Die Definition von „Verantwortlicher“ schließt den „Geschäftsbetreiber“ gemäß der Definition des APPI ein. Als Geschäftsbetreiber ist Bentley für den Umgang mit den in seinem Besitz befindlichen personenbezogenen Daten verantwortlich.
• Die Definition von „Auftragsverarbeiter“ schließt einen Unternehmer ein, der vom Geschäftsbetreiber ganz oder teilweise mit der Verarbeitung personenbezogener Daten betraut ist (auch „Treuhänder“), wie unter dem APPI beschrieben. Als Treuhänder wird Bentley dafür sorgen, dass die Verwendung der anvertrauten personenbezogenen Daten sicher kontrolliert wird.

Mexiko:

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst das Bundesgesetz zum Schutz personenbezogener Daten im Besitz privater Parteien und dessen Verordnungen („LFPDPPP“). Es wurde am 20. März 2025 veröffentlicht und trat am 21. März 2025 in Kraft und ersetzt das frühere Gesetz gleichen Namens aus dem Jahr 2010; dessen Verordnungen gelten weiterhin, soweit sie nicht ersetzt wurden.

Saudi-Arabien (KSA)

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst das durch Königlichen Erlass Nr. M/19 vom 9.2.1443H erlassene Gesetz zum Schutz personenbezogener Daten in der durch Königlichen Erlass Nr. M/148 vom 5.9.1444H geänderten Fassung („PDPL“), dessen Durchführungsverordnungen sowie die Verordnung über die Übermittlung personenbezogener Daten außerhalb des Königreichs („Übermittlungsverordnung“), jeweils in der von der Saudi Data and Artificial Intelligence Authority („SDAIA“) erlassenen oder geänderten Fassung.
• Die Definition von „Verantwortlicher“ umfasst den „Controller“ im Sinne des PDPL. Die Definition von „Auftragsverarbeiter“ umfasst die „Processing Entity“ im Sinne des PDPL.
• Die Definition von „Datenschutzverletzung“ umfasst eine „personal data breach“ im Sinne des PDPL und seiner Durchführungsverordnungen.
• Mechanismus für grenzüberschreitende Übermittlungen. Wenn Bentley personenbezogene Daten des Abonnenten, die dem PDPL unterliegen, außerhalb des Königreichs Saudi-Arabien in eine Rechtsordnung übermittelt, die von der SDAIA nicht als angemessenes Schutzniveau bietend anerkannt wurde, unterliegt die Übermittlung den SDAIA-Standardvertragsklauseln oder einem anderen nach dem PDPL anerkannten rechtmäßigen Übermittlungsmechanismus. Die betreffenden Kategorien betroffener Personen und personenbezogener Daten, die Übermittlungszwecke sowie die technischen und organisatorischen Maßnahmen sind in Anhang 2 aufgeführt.
• Bentley wird den Abonnenten in angemessener Weise bei jeder nach Artikel 7 der Übermittlungsverordnung erforderlichen Risikobewertung unterstützen, bevor personenbezogene Daten außerhalb des Königreichs übermittelt werden.

Singapur:

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst den Personal Data Protection Act 2012 („PDPA“).
• Bentley verarbeitet personenbezogene Daten mit einem Schutzniveau, das dem PDPA entspricht, indem angemessene technische und organisatorische Maßnahmen gemäß Abschnitt 6 (Sicherheit) dieses DPA umgesetzt und die Bedingungen der Vereinbarung eingehalten werden.

Südafrika:

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst den Protection of Personal Information Act („POPIA“).

Schweiz:

• Die Definition von „Datenschutzgesetzen und -vorschriften“ umfasst das Schweizer Bundesgesetz über den Datenschutz in der revidierten Fassung („FADP“).
• Wenn Bentley einen Unterauftragsverarbeiter gemäß Abschnitt 5 (Unterauftragsverarbeiter) dieses DPA einsetzt, wird Bentley: (a) von jedem ernannten Unterauftragsverarbeiter verlangen, dass er die Daten des Abonnenten gemäß dem von den Datenschutzgesetzen und -vorschriften geforderten Standard schützt, z. B. einschließlich der gleichen Datenschutzverpflichtungen, auf die in Artikel 28 Absatz 3 der DSGVO Bezug genommen wird, insbesondere die Bereitstellung ausreichender Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen in einer Weise, dass die Verarbeitung die Anforderungen der DSGVO erfüllt, und (b) von allen ernannten Unterauftragsverarbeitern verlangen, dass sie (i) sich schriftlich verpflichten, personenbezogene Daten nur in einem Land zu verarbeiten, dem die Europäische Union ein „angemessenes“ Schutzniveau bescheinigt hat, oder (ii) personenbezogene Daten nur zu Bedingungen verarbeiten, die den EU-Standardvertragsklauseln gleichwertig sind, oder gemäß einer von den zuständigen Datenschutzbehörden der Europäischen Union erteilten Genehmigung der verbindlichen Unternehmensregeln.
• Soweit personenbezogene Daten des Abonnenten, die dem FADP unterliegen, an Bentley oder ein verbundenes Unternehmen von Bentley in einer Rechtsordnung übermittelt werden, die nicht auf der Angemessenheitsliste des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten steht, unterliegen solche Übermittlungen den EU-Standardvertragsklauseln (ausgefüllt gemäß Abschnitt 1.1 von Anhang 1 und Anhang 3 (SCC-MATRIX)) mit den folgenden Änderungen: (a) Verweise auf „EU-Mitgliedstaat“ und „Mitgliedstaat“ sind so auszulegen, dass sie die Schweiz einschließen, und (b) Verweise auf die „Verordnung (EU) 2016/679“ oder die „DSGVO“ sind als Verweise auf das FADP auszulegen; (c) die „zuständige Aufsichtsbehörde“ in Anhang I, Teil C ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte; (d) in Klausel 17 (Option 1) unterliegen die EU-Standardvertragsklauseln dem Recht der Schweiz; und (iv) gemäß Klausel 18(b) der EU-Standardvertragsklauseln werden Streitigkeiten vor den Gerichten der Schweiz beigelegt. Gegebenenfalls gilt die Unterzeichnung des DPA auf Seite 8 als Unterzeichnung und Annahme von Modul 2 der EU-Standardvertragsklauseln in der in diesem Abschnitt geänderten Fassung, einschließlich ihrer Appendices und Anhänge gemäß den in der SCC-Matrix festgelegten Spezifikationen. Der Abonnent muss außerdem die Informationen in Anhang 4 vervollständigen.

Vereinigtes Königreich (UK):

• Verweise in diesem DPA auf die DSGVO gelten insoweit als Verweise auf die entsprechenden Gesetze des Vereinigten Königreichs (einschließlich der UK-DSGVO und des Data Protection Act 2018, jeweils in der durch den Data (Use and Access) Act 2025 geänderten Fassung).
• Wenn Bentley einen Unterauftragsverarbeiter gemäß Abschnitt 5 (Unterauftragsverarbeiter) dieses DPA einsetzt, wird Bentley: (a) von jedem ernannten Unterauftragsverarbeiter verlangen, dass er die Daten des Abonnenten gemäß dem von den Datenschutzgesetzen und -vorschriften geforderten Standard schützt, z. B. einschließlich der gleichen Datenschutzverpflichtungen, auf die in Artikel 28 Absatz 3 der DSGVO Bezug genommen wird, insbesondere die Bereitstellung ausreichender Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen in einer Weise, dass die Verarbeitung die Anforderungen der DSGVO erfüllt, und (b) von allen ernannten Unterauftragsverarbeitern verlangen, dass sie (i) sich schriftlich verpflichten, personenbezogene Daten nur in einem Land zu verarbeiten, dem das Vereinigte Königreich ein „angemessenes“ Schutzniveau bescheinigt hat, oder (ii) personenbezogene Daten nur zu Bedingungen zu verarbeiten, die den EU-Standardvertragsklauseln gleichwertig sind, oder gemäß einer von den zuständigen Datenschutzbehörden des Vereinigten Königreichs erteilten Genehmigung der verbindlichen Unternehmensregeln.
• Ungeachtet gegenteiliger Bestimmungen in diesem DPA oder in der Vereinbarung (einschließlich, aber nicht beschränkt auf die Entschädigungsverpflichtungen der Parteien) ist keine der Parteien für Geldbußen im Rahmen der DSGVO des Vereinigten Königreichs verantwortlich, die gemäß Artikel 83 der DSGVO des Vereinigten Königreichs von einer Aufsichtsbehörde oder staatlichen Stelle gegen die andere Partei im Zusammenhang mit dem Verstoß der anderen Partei gegen die DSGVO des Vereinigten Königreichs verhängt oder erhoben werden.
• Der Abonnent erkennt an, dass Bentley als Verantwortlicher nach den Datenschutzgesetzen und -vorschriften verpflichtet sein kann, eine Aufsichtsbehörde über Sicherheitsvorfälle im Zusammenhang mit Nutzungsdaten zu benachrichtigen. Wenn eine Aufsichtsbehörde von Bentley verlangt, betroffene Personen zu benachrichtigen, zu denen Bentley keine direkte Beziehung unterhält (z. B. Endanwender des Abonnenten), wird Bentley den Abonnenten über diese Anforderung informieren. Der Abonnent wird Bentley in angemessener Weise bei der Benachrichtigung der betroffenen Personen unterstützen.

UK International Data Transfer Agreement

Soweit personenbezogene Daten des Abonnenten, die der UK-DSGVO unterliegen, an Bentley oder ein verbundenes Unternehmen von Bentley in einer nicht von Angemessenheitsvorschriften erfassten Rechtsordnung übermittelt werden, unterliegen solche Übermittlungen dem UK International Data Transfer Agreement, das wie folgt gilt:

1. a) wie in Abschnitt 1.1 von Anhang 1 dargelegt, mit den folgenden Änderungen: (i) Verweise auf die „Verordnung (EU) 2016/679“ oder die „DSGVO“ sind als Verweise auf die UK-DSGVO auszulegen; (ii) Verweise auf Bentley Systems International Limited sind als Verweise auf Bentley Systems (UK) Limited auszulegen; (iii) Verweise auf die EU-Standardvertragsklauseln beziehen sich auf diese Klauseln in der Fassung, in der sie durch das UK International Data Transfer Agreement einbezogen und geändert wurden.
2. b) In Tabelle 1 des UK International Data Transfer Agreement sind die Angaben zu den Parteien und die wichtigsten Kontaktinformationen in Anhang 4 (Kontaktdaten der Parteien und Angabe der zuständigen Aufsichtsbehörde) dieses DPA aufgeführt.
3. c) In Tabelle 2 des UK International Data Transfer Agreement sind die Informationen über die Version der EU-Standardvertragsklauseln, die Module und die ausgewählten Klauseln, denen dieses UK International Data Transfer Agreement beigefügt ist, in Anhang 3 (SCC-Matrix) dieses DPA aufgeführt.
4. d) In Tabelle 3 des UK International Data Transfer Agreement:

• Die Liste der Parteien ist in Anhang 4 (Kontaktdaten der Parteien und Angabe der zuständigen Aufsichtsbehörde) dieses DPA aufgeführt.
• Die Beschreibung der Übermittlung ist in Anhang 2 (Details der Verarbeitung und Übermittlung personenbezogener Daten) dieses DPA dargelegt.
• Anhang II ist in Abschnitt 6 dieses DPA näher beschrieben.
• Die Liste der Unterauftragsverarbeiter ist im Trust Center von Bentley aufgeführt.

1. e) Gemäß Tabelle 4 des UK International Data Transfer Agreement können sowohl der Importeur als auch der Exporteur das UK International Data Transfer Agreement gemäß dessen Bedingungen beenden.

Die Parteien vereinbaren, dass das UK International Data Transfer Agreement (einschließlich der EU-Standardvertragsklauseln) auch dann gilt, wenn eine Übermittlung nicht zugleich der DSGVO unterliegt. Gegebenenfalls gilt die Unterzeichnung des DPA auf Seite 8 als Unterzeichnung und Annahme des UK International Data Transfer Agreement einschließlich seiner Appendices und Anhänge gemäß den in der SCC-Matrix festgelegten Spezifikationen. Der Abonnent muss außerdem die Informationen in Anhang 4 vervollständigen.

Soweit ein Widerspruch oder eine Unstimmigkeit zwischen den EU-Standardvertragsklauseln oder dem UK International Data Transfer Agreement und anderen Bedingungen dieses DPA, einschließlich Anhang 5 (Gerichtsspezifische Bestimmungen), der Vereinbarung oder den Bestimmungen der EU-Standardvertragsklauseln bzw. des UK International Data Transfer Agreement besteht, gehen die EU-Standardvertragsklauseln bzw. das UK International Data Transfer Agreement vor.