Legal Stuff

IMPORTANT NOTE: The English version of this document will govern our relationship - this translated version is provided for convenience only and will not be interpreted to modify the English version. For the English version, please see the HubSpot Legal Stuff page.

Stand: 18. September 2024

Dieser Vertrag wird lediglich als Gefälligkeit zur Verfügung gestellt. Es gilt ausschließlich die englische Fassung dieses Vertrags, und in keinem Fall darf die deutsche Sprachfassung dieses Vertrags dahingehend ausgelegt werden, dass sie die englische Fassung dieses Vertrags ändert oder auf andere Weise die Beziehung der Vertragspartner untereinander regelt.

BITTE LESEN SIE DIESE BEDINGUNGEN SORGFÄLTIG DURCH.

Die HubSpot-Bedingungen für vertrauliche Daten („Bedingungen für vertrauliche Daten“) gelten für Ihre Nutzung des Abonnementdienstes und für Informationen, die nach geltendem Recht als vertraulich gelten. Im Falle eines Konflikts oder einer Unstimmigkeit mit den anderen Vertragsbestimmungen haben die vorliegenden Bedingungen über vertrauliche Daten Vorrang vor den anderen Vertragsbestimmungen, sofern diese anwendbar sind. 

Begriffe, die hier hervorgehoben verwendet und nicht anderweitig definiert werden, haben die Bedeutung, die ihnen im Vertrag zugewiesen wird. 

1. DEFINITIONEN

2. ABGEDECKTE SERVICES

3. ABGEDECKTE BETA-SERVICES

4. ALLGEMEINE BEDINGUNGEN

5. GEWÄHRLEISTUNGSAUSSCHLUSS

6. SCHLUSSBESTIMMUNGEN

ANHANG I – VEREINBARUNG FÜR GESCHÄFTSPARTNER VON HUBSPOT (die „VGP“) (anwendbar in dem Umfang, in dem Sie geschützte Gesundheitsinformationen speichern, die dem HIPAA-Gesetz (Health Insurance Portability and Accountability Act) unterliegen) 

1.  DEFINITIONEN

1.1 „Abgedeckte Beta-Services“ bezeichnet die Beta-Funktionen innerhalb des Abonnementdienstes, die zulässige vertrauliche Daten unterstützen und ausdrücklich in der Tabelle „Abgedeckte Beta-Services“ in den Bedingungen für vertrauliche Daten enthalten sind.

1.2 „Abgedeckte Services“ bezeichnet die Funktionen innerhalb des Abonnementdienstes, die zulässige vertrauliche Daten unterstützen und ausdrücklich in der Tabelle „Abgedeckte Services“ in den Bedingungen für vertrauliche Daten enthalten sind.

1.3 „Zulässige vertrauliche Daten“ sind alle Informationen, die in der Tabelle „Abgedeckte Services“ und in der Tabelle „Abgedeckte Beta-Services“ ausdrücklich zugelassen sind.

1.4 „Unzulässige vertrauliche Daten“ bezeichnet i) alle Informationen, die gemäß den geltenden Gesetzen in Bezug auf Privatsphäre oder Datenschutz zu einer vertrauliche Informationskategorie gehören und nicht ausdrücklich unter „Zulässige vertrauliche Daten“ fallen, und ii) jede Verwendung zulässiger vertraulicher Daten außerhalb des Geltungsbereichs der abgedeckten Dienste oder die anderweitig außerhalb des ausdrücklichen und autorisierten Geltungsbereichs dieser Bedingungen verarbeitet wird (beispielsweise ist die Speicherung von Finanzdaten zum Zwecke der direkten Zahlungsabwicklung verboten). 

2.  ABGEDECKTE SERVICES

Sie erklären sich damit einverstanden, nur die abgedeckten Services für die Kategorien zulässiger vertraulicher Daten zu nutzen, die in der Tabelle „Abgedeckte Services“ aufgeführt sind.

3.  ABGEDECKTE BETA-SERVICES

Sie erklären sich damit einverstanden, nur die abgedeckten Beta-Services für die Kategorien zulässiger vertraulicher Daten zu nutzen, die in der Tabelle „Abgedeckte Beta-Services“ aufgeführt sind.  Einige der abgedeckten Beta-Services sind möglicherweise wie von HubSpot bestimmt nur für eine begrenzte Anzahl ausgewählter Kunden verfügbar und werden als solche in der Tabelle der abgedeckten Beta-Services angegeben („Abgedeckte private Beta-Services“). Zur Erinnerung: Die unter https://legal.hubspot.com/de/hubspot-beta-terms verfügbaren HubSpot-Beta-Bedingungen gelten für alle Beta-Services. 

4.  ALLGEMEINE BEDINGUNGEN

4.1 Zulässige und unzulässige Nutzung. Zulässige vertrauliche Daten dürfen innerhalb des Abonnementdienstes nur gemäß diesen Bedingungen und mit den in den abgedeckten Diensten angegebenen zulässigen Funktionen verwendet werden. Unzulässige vertrauliche Daten sind in den Funktionen der Abonnementdienste, einschließlich der abgedeckten Dienste, nicht zulässig. Das Überschreiten des zulässigen Umfangs der HubSpot-Bedingungen für vertrauliche Daten kann gemäß den HubSpot-Nutzungsbedingungen für Kunden zu einer Aussetzung oder Kündigung führen.

4.2 Produkte von Dritten. Wenn Sie sich für die Integration von Produkten von Dritten oder deren anderweitige Verwendung in Verbindung mit dem Abonnementdienst entscheiden, erkennen Sie an, dass die von den Produkten von Dritten gehosteten oder verarbeiteten Kundendaten gemäß den Richtlinien dieser Drittanbieter gehostet werden. 

4.3 Pflichten des Kunden. Es liegt in Ihrer Verantwortung, zu prüfen und festzustellen, ob Ihre Nutzung der Abonnementdienste mit Ihren Compliance-Verpflichtungen vereinbar ist. Sie sind auch verpflichtet, auf eigene Kosten Ihr eigenes Personal und Ihre eigenen Ressourcen (oder die des von Ihnen benannten Drittanbieters) bereitzustellen, um folgende Mindestanforderungen zu erfüllen: (i) Unterstützung bei der Verwaltung und Überwachung vertraulicher Daten in Ihrem HubSpot-Account; (ii) Beantwortung von Auskunftsersuchen betroffener Personen im Zusammenhang mit vertraulichen Daten, die in Ihrem HubSpot-Account gespeichert sind; sowie (iii) Reaktion auf Anfragen, Verpflichtungen oder andere rechtmäßige Anordnungen, die von Vollstreckungsbeamten gemäß geltendem Recht oder geltenden Vorschriften festgelegt wurden.

4.3.1 Identifikation zulässiger vertraulicher Daten. Die Funktionalität der abgedeckten Services beruht auf der Verwendung von Eigenschaften vertraulicher Daten, und Sie stimmen zu, i) vertrauliche Daten angemessen zu identifizieren und ii) zulässige vertrauliche Daten nur innerhalb der abgedeckten Services und Beta-Services zu verarbeiten.

4.4 Pflichten von HubSpot. Wir verpflichten uns, weiterhin die physischen, administrativen und technischen Sicherheitskontrollen zu gewährleisten, die in den bestehenden Bedingungen der Vereinbarung enthalten sind. Weitere Informationen über die Sicherheitsmaßnahmen von HubSpot finden Sie im HubSpot Trust Center unter https://trust.hubspot.com. 

4.5 Datenschutzverletzungen bei vertraulichen Informationen. Wie in der Vereinbarung zur Datenverarbeitung von HubSpot beschrieben, halten wir Richtlinien und Verfahren für den Umgang mit Sicherheitsvorfällen gemäß Abschnitt „Sicherheitsmaßnahmen“ unserer DPA ein.  
4.6 Sicherheit und Benachrichtigungen im Rahmen der VGP. Wir verfügen über Richtlinien und Verfahren für die Verwaltung von Sicherheitsvorfällen, wie sie im Abschnitt „Verpflichtungen des Geschäftspartners“ unserer VGP aufgeführt sind, und wir werden Sie gemäß diesen Bestimmungen benachrichtigen, wenn die VGP für Sie gelten. 

5. GEWÄHRLEISTUNGSAUSSCHLUSS

HUBSPOT ÜBERNIMMT KEINE GEWÄHRLEISTUNG DAFÜR, DASS EINER DER ABGEDECKTEN ABONNEMENTDIENSTE IHRE ANFORDERUNGEN ERFÜLLT UND/ODER DASS DIE ABGEDECKTEN ABONNEMENTDIENSTE UNUNTERBROCHEN, PÜNKTLICH ODER FEHLERFREI VERFÜGBAR SEIN WERDEN. 

6. SCHLUSSBESTIMMUNGEN

6.1 Änderungen an Bedingungen für vertrauliche Daten. Wir können Änderungen an diesen Bedingungen für vertrauliche Daten vornehmen, um die Anzahl der abgedeckten Services, der abgedeckten Beta-Services oder der zulässigen vertraulichen Daten, die gemäß diesen Bedingungen erlaubt sind, zu erhöhen, ohne Sie darüber zu informieren; andere Aktualisierungen dieser Bedingungen werden in Übereinstimmung mit der Vereinbarung vorgenommen. Sie nehmen zur Kenntnis und sind einverstanden, dass wir Ihre Nutzung der Funktionen unter den Bedingungen für vertrauliche Daten nach einer Aktualisierung dieser Bedingungen als Zustimmung zu den aktualisierten Bedingungen für vertrauliche Daten werten.

6.2 Streitigkeiten. Alle anderen Bedingungen in der Vereinbarung bleiben unverändert. Im Falle von Konflikten oder Widersprüchen mit den Vertragsbedingungen haben die vorliegenden Bedingungen für vertrauliche Daten Vorrang vor den Bedingungen der Vereinbarung. Für Kunden, die geschützte Gesundheitsdaten speichern, die dem HIPAA-Gesetz unterliegen, haben die VGP Vorrang vor den Bedingungen der Vereinbarung, einschließlich aller anderen Bedingungen in diesen-Bedingungen für vertrauliche Daten, soweit es zu Konflikten oder Unstimmigkeiten kommt. 

6.3 Fortbestehen. Diese Bedingungen für vertrauliche Daten und die VGP gelten, soweit anwendbar, auch über die Kündigung oder den Ablauf der Vereinbarung hinaus.

ANHANG I – VEREINBARUNG FÜR GESCHÄFTSPARTNER 

[Benötigen Sie das Dokument im PDF-Format? Klicken Sie hier.]

Diese Vereinbarung für Geschäftspartner („VGP“) ist Bestandteil der Vereinbarung zwischen HubSpot, Inc. („Geschäftspartner“ oder „HubSpot”) und dem Kunden über die Nutzung der entsprechenden HubSpot-Services, die der Kunde mittels Bestellformular, Leistungsbeschreibung oder einer anderen Vereinbarung mit HubSpot abonniert hat (die „Vereinbarung“). Geschäftspartner und Kunde werden hierin als „Partei“ und zusammen als „Parteien“ bezeichnet.

ERWÄGUNGSGRÜNDE:

(A) Der Kunde ist ein „abgedecktes Unternehmen“ oder ein „Geschäftspartner“ im Sinne des HIPAA-Gesetzes und folglich verpflichtet, die darin enthaltenen Anforderungen in Bezug auf die Vertraulichkeit und den Datenschutz geschützter Gesundheitsinformationen zu erfüllen.

(B) Im Zusammenhang mit der Bereitstellung von HubSpot-Services für den Kunden gehen die Vertragsparteien davon aus, dass HubSpot geschützte Gesundheitsinformationen für den Kunden oder in seinem Namen erhalten kann.

(C) Durch die Erbringung von Dienstleistungen gemäß der Vereinbarung und die Erstellung und/oder den Erhalt geschützter Gesundheitsinformationen für den Kunden oder im Namen des Kunden wird der Geschäftspartner ein Geschäftspartner oder Subunternehmer des Kunden gemäß der Definition diese Begriffe im HIPAA-Gesetz und hat daher Verpflichtungen in Bezug auf die Vertraulichkeit und den Datenschutz geschützter Gesundheitsinformationen, die der Geschäftspartner für den Kunden, von dem Kunden oder im Namen des Kunden erhält.

(D) Diese VGP gilt nur insoweit, als es sich bei dem Kunden um eine „abdeckte juristische Person“ oder einen „Geschäftspartner“ gemäß der Definition im HIPAA-Gesetz handelt und der Kunde geschützte Gesundheitsdaten mit HubSpot teilt.

1. Definitionen.

Für die Zwecke dieser VGP haben die in Großbuchstaben geschriebenen Begriffe die Bedeutung, die ihnen im Folgenden zugewiesen wird. Alle in Großbuchstaben geschriebenen Begriffe, die hier verwendet, aber nicht anderweitig definiert werden, haben die Bedeutung, die ihnen im HIPAA-Gesetz zugewiesen wird.

a. „HIPAA“ bezeichnet zusammenfassend die Bestimmung zur administrativen Vereinfachung des vom Kongress der Vereinigten Staaten erlassenen „Health Insurance Portability and Accountability Act“ und seiner Durchführungsbestimmungen (im Folgenden als „HIPAA-Regeln“ bezeichnet), einschließlich der „Privacy Rule“, der „Breach Notification Rule“, der „Security Rule“ und der „Enforcement Rule“, die mitunter Änderungen unterliegen können, etwa durch den „Health Information Technology for Economic and Clinical Health (HITECH) Act“ und die Regelungen im Rahmen der „Modifications to the HIPAA Privacy, Security, Enforcement, and Breach Notification Rules under the Health Information Technology for Economic and Clinical Health Act and the Genetic Information Nondiscrimination Act: Other modifications to the HIPAA Rules; Final Rule“ (allgemein als „Omnibus Final Rule“ bezeichnet).

b. „HubSpot-Services“ bezeichnet die HubSpot-Services, die der Kunde mittels eines Bestellformulars, einer Leistungsbeschreibung oder einer anderen schriftlichen Vereinbarung abonniert hat, in der HubSpot ausdrücklich zur Verarbeitung von geschützten Gesundheitsinformationen im Rahmen der Nutzung durch den Kunden autorisiert wurde. 

c. „Geschützte Gesundheitsinformationen“ oder „GGI“ hat dieselbe Bedeutung wie „elektronisch geschützte Gesundheitsinformationen“ in 45 CFR § 160.103; für die Zwecke dieser VGP ist dieser Begriff jedoch auf geschützte Gesundheitsinformationen beschränkt, die HubSpot von oder im Namen des Kunden über die HubSpot-Services erhält und verarbeitet.

d. „Minister“ bezieht sich auf den Gesundheitsminister der USA.

e. „Ungesicherte GGI“ bezeichnet GGI, die nicht durch die Verwendung einer vom Minister festgelegten Technologie oder Methode (z. B. Verschlüsselung) für Unbefugte unbrauchbar, unlesbar oder unentzifferbar gemacht werden. Diese Definition gilt sowohl für GGI in Papierform als auch für elektronische GGI.

f. „Erfolglose sicherheitsrelevante Vorfälle“ sind ohne Einschränkung Pings und andere Broadcast-Angriffe auf die Firewall von HubSpot, Port-Scans, erfolglose Anmeldeversuche und Denial-of-Service-Angriffe, sofern ein solcher Vorfall nicht zu einem unbefugten Zugriff, Erwerb, Verwendung oder einer unbefugten Weitergabe von GGI führt.

2. Pflichten des Geschäftspartners. 

a. Nutzung und Offenlegung von GGI.

i. Der Geschäftspartner garantiert, dass er sowie seine Vertreter und Subunternehmer: (i) GGI nur im Zusammenhang mit der Erfüllung seiner Rechte, Pflichten und Verpflichtungen aus dieser VGP und der Vereinbarung verwenden oder offenlegen wird; (ii) keine GGI verwenden oder offenlegen wird, es sei denn, dies ist durch diese VGP und die Vereinbarung zulässig oder erforderlich oder gesetzlich vorgeschrieben; (iii) GGI nicht in einer Weise verwenden oder offenlegen wird, die gegen geltende Bundes- und Landesgesetze verstößt oder gegen solche Gesetze verstoßen würde, wenn sie vom Kunden auf diese Weise verwendet oder offengelegt würden; und (iv) nur die minimal erforderlichen GGI für ihre spezifischen Zwecke verwenden und offenlegen wird. Der Kunde erklärt sich damit einverstanden, dass sich der Geschäftspartner auf die Anweisungen des Kunden verlassen kann, um festzustellen, ob die Nutzungen und Offenlegungen diese erforderliche Mindestanforderung erfüllen. 

ii. Vorbehaltlich der Einschränkungen, die in dieser VGP dargelegt sind, kann der Geschäftspartner die vom Kunden erhaltenen Informationen verwenden, wenn dies für (i) die ordnungsgemäße Verwaltung und Administration des Geschäftspartners erforderlich ist; oder (ii) um die gesetzlichen Rechte und Pflichten des Geschäftspartners auszuüben.

iii. Vorbehaltlich der in dieser VGP festgelegten Einschränkungen kann der Geschäftspartner GGI für eine ordnungsgemäße Verwaltung des Geschäftspartners offenlegen, vorausgesetzt, dass (1) die Offenlegungen gesetzlich vorgeschrieben sind; oder (2) der Geschäftspartner von der natürlichen oder juristischen Person, an die die Informationen weitergegeben werden, angemessene Zusicherungen erhält, dass diese vertraulich bleiben und nur so verwendet oder an die jeweilige natürliche oder juristische Person weitergegeben werden, wie dies gesetzlich vorgeschrieben oder für die im Rahmen der Vereinbarung zulässigen Zwecke erforderlich ist, und die natürliche oder juristische Person den Geschäftspartner über alle ihr bekannten Fälle benachrichtigt, in denen die Vertraulichkeit der Informationen verletzt wurde. Der Geschäftspartner hält gegebenenfalls Unterabschnitt C von 45 C.F.R. Abschnitt 164 in Bezug auf elektronische GGI ein, um die Verwendung oder Offenlegung dieser elektronischen GGI zu verhindern, die nicht in dieser VGP oder der Vereinbarung vorgesehen ist.

iv. Der Geschäftspartner ist berechtigt, GGI, die er im Namen des Kunden gemäß dieser VGP erstellt oder erhalten hat, mit GGI im Sinne von 45 C.F.R. 160.103, die er in seiner Eigenschaft als Geschäftspartner anderer betroffener Einrichtungen erhalten hat, zu Zwecken der Datenaggregation in dem nach dem HIPAA-Gesetz zulässigen Umfang zu verwenden, offenzulegen und zu kombinieren, um Datenanalysen zu ermöglichen, die sich auf die Gesundheitsversorgung der jeweiligen betroffenen Einrichtungen und/oder des Kunden beziehen.

v. Der Geschäftspartner kann alle GGI, die vom Geschäftspartner im Rahmen dieser VGP erstellt oder empfangen wurden, nach einem HIPAA-Standard anonymisieren. Sobald GGI gemäß 45 CFR 164.514(b) anonymisiert worden sind, sodass keine Rückschlüsse auf Individuen mehr möglich sind, sind diese Informationen keine geschützten Gesundheitsinformationen mehr und unterliegen nicht mehr dieser VGP.

b. Sicherheitsmaßnahmen. Der Geschäftspartner wird angemessene administrative, technische und physische Sicherheitsvorkehrungen treffen, um die Vertraulichkeit von GGI zu schützen und die Verwendung oder Offenlegung von GGI in einer Weise zu verhindern, die nicht den Bedingungen dieser VGP oder der Vereinbarung entspricht. Der Geschäftspartner hält gegebenenfalls Unterabschnitt C von 45 C.F.R. Abschnitt 164 in Bezug auf elektronische GGI ein, um die Verwendung oder Offenlegung dieser elektronischen GGI zu verhindern, die nicht in dieser VGP oder der Vereinbarung vorgesehen ist.

c. Audits und Datensätze. Der Geschäftspartner wird in Übereinstimmung mit dem HIPAA-Gesetz dem Minister die internen Praktiken, Bücher und Aufzeichnungen des Geschäftspartners in Bezug auf die Verwendung und Offenlegung von GGI zur Verfügung stellen, die er vom Kunden erhalten hat oder die vom Geschäftspartner im Namen des Kunden erstellt oder empfangen wurden, um festzustellen, ob der Kunde seinen Verpflichtungen gemäß dem HIPAA-Gesetz nachkommt.

d. Rechte des Einzelnen an den eigenen GGI.

i. In dem Umfang, in dem der Geschäftspartner GGI in einem bestimmten Datensatz speichert, wird der Geschäftspartner dem Kunden diese GGI innerhalb von zehn (10) Werktagen nach Erhalt einer schriftlichen Anfrage durch den Kunden zur Verfügung stellen, damit der Kunde auf eine Anfrage einer Einzelperson nach Zugriff auf GGI gemäß 45 CFR Abschnitt 164.524 reagieren kann.

1. Für den Fall, dass eine Einzelperson den Zugang zu GGI direkt beim Geschäftspartner beantragt, wird der Geschäftspartner diesen Antrag innerhalb von fünf (5) Werktagen an den Kunden weiterleiten.

2. Der Kunde ist dafür verantwortlich, alle Entscheidungen bezüglich der Gewährung oder Verweigerung der Anfrage einer Einzelperson nach GGI zu treffen, und der Geschäftspartner wird keine solchen Entscheidungen treffen. Sofern nicht gesetzlich vorgeschrieben, ist nur der Kunde für die Herausgabe von GGI an eine Person gemäß einer solchen Aufforderung verantwortlich. Jede Verweigerung des Zugriffs auf GGI, die vom Kunden gemäß 45 CFR Abschnitt 164.524 festgestellt und vom Kunden an den Geschäftspartner weitergeleitet wird, liegt in der Verantwortung des Kunden, einschließlich der Lösung oder Meldung aller Einsprüche und/oder Beschwerden, die sich aus Verweigerungen ergeben.

ii. Soweit der Geschäftspartner GGI in einem designierten Datensatz aufbewahrt, um es dem Kunden zu ermöglichen, auf eine Anfrage einer Einzelperson zur Änderung von GGI zu reagieren, wird der Geschäftspartner dem Kunden innerhalb von zehn (10) Werktagen nach Erhalt einer schriftlichen Anfrage diese GGI zur Verfügung stellen:

1. Für den Fall, dass eine Einzelperson eine Änderung von GGI direkt beim Geschäftspartner beantragt, wird der Geschäftspartner diesen Antrag innerhalb von fünf (5) Werktagen an den Kunden weiterleiten.

2. Der Kunde ist dafür verantwortlich, alle Entscheidungen über die Gewährung oder Verweigerung des Antrags einer Person auf Änderung von GGI zu treffen, der Geschäftspartner wird keine solchen Entscheidungen treffen. Jede Verweigerung der Änderung von GGI, die vom Kunden gemäß 45 CFR Abschnitt 164.526 festgestellt und vom Kunden an den Geschäftspartner weitergeleitet wird, liegt in der Verantwortung des Kunden, einschließlich der Lösung oder Meldung aller Einsprüche und/oder Beschwerden, die sich aus Verweigerungen ergeben.

3. Innerhalb von zehn (10) Arbeitstagen nach Erhalt einer Anfrage eines Kunden zur Änderung der GGI einer Person im designierten Datensatz wird der Geschäftspartner alle genehmigten Änderungen, Widerspruchserklärungen und/oder Widerlegungen in den designierten Datensatz aufnehmen oder dem Kunden zur Verfügung stellen, damit dieser sie aufnehmen kann, wie in 45 CFR Abschnitt 164.526 gefordert.

iii. Um Kunden zu ermöglichen, auf die Anfrage einer Einzelperson nach einer Aufstellung gemäß 45 CFR Abschnitt 164.528 zu reagieren, wird der Geschäftspartner dem Kunden innerhalb von zehn (10) Werktagen nach einer schriftlichen Anfrage des Kunden nach einer Aufstellung für die Offenlegung von GGI über eine Einzelperson diese GGI zur Verfügung stellen. Der Geschäftspartner stellt dem Kunden die folgenden Informationen zur Verfügung: (1) das Datum der Offenlegung; (2) den Namen der Einrichtung oder Person, die die GGI erhalten hat, und, falls bekannt, die Adresse dieser Einrichtung oder Person; (3) eine kurze Beschreibung der offengelegten GGI; und (4) eine kurze Erläuterung des Zwecks einer solchen Offenlegung.

1. Für den Fall, dass eine Einzelperson eine Aufstellung über die Weitergabe von GGI direkt vom Geschäftspartner verlangt, wird der Geschäftspartner diese Anfrage innerhalb von fünf (5) Werktagen an den Kunden weiterleiten.

2. Der Kunde ist für die Erstellung und Übermittlung einer Aufstellung an die Einzelperson verantwortlich.

3. Der Geschäftspartner wird ein angemessenes Verfahren zur Aufbewahrung von Aufzeichnungen einführen, um die Anforderungen dieser VGP zu erfüllen.

e. Offenlegung gegenüber Dritten. Der Geschäftspartner wird mit jedem Subunternehmer oder Vertreter, der Zugang zu GGI hat oder haben wird, die vom Geschäftspartner für den Kunden oder im Namen des Kunden entgegengenommen, erstellt oder empfangen werden, eine schriftliche Vereinbarung abschließen und aufrechterhalten. Gemäß dieser Vereinbarung erklärt sich dieser Subunternehmer oder Vertreter damit einverstanden, an die gleichen Standards von Beschränkungen und Geschäftsbedingungen gebunden zu sein, die für Geschäftspartner gemäß dieser Vereinbarung in Bezug auf GGI gelten.

f. Rechenschaftspflicht.

i. Der Geschäftspartner wird dem Kunden jeden Verstoß spätestens zehn (10) Werktage nach Entdeckung durch den Geschäftspartner melden. Die Benachrichtigung über einen Verstoß umfasst folgende Informationen, soweit diese verfügbar sind: (1) die Identifizierung jeder Person, auf deren GGI während des Sicherheitsverstoßes zugegriffen wurde bzw. deren GGI erworben oder offengelegt wurden (oder der Personen, bei denen man vernünftigerweise annehmen muss, dass diese Verletzungen erfolgt sind); (2) das Datum des Verstoßes, sofern bekannt, und das Datum der Entdeckung des Verstoßes; (3) den Umfang des Verstoßes; und (4) die Reaktion des Geschäftspartners auf den Verstoß.

ii. Im Falle einer Verwendung oder Offenlegung von GGI, die gemäß dieser VGP unzulässig ist, aber keinen Verstoß darstellt, wird der Geschäftspartner dem Kunden eine solche Verwendung oder Offenlegung innerhalb von zehn (10) Werktagen nach dem Datum melden, an dem der Geschäftspartner von einer solchen Verwendung oder Offenlegung Kenntnis erlangt.

iii. Die Parteien erkennen an, dass erfolglose sicherheitsrelevante Vorfälle im Rahmen des normalen Geschäftsverlaufs auftreten, und die Parteien vereinbaren, dass dieser Absatz eine Benachrichtigung des Geschäftspartners an den Kunden über solche erfolglosen sicherheitsrelevanten Vorfälle darstellt.

3. Pflichten des Kunden.

a. Zulässige Anfragen.

i. Der Kunde wird den Geschäftspartner nicht auffordern, GGI in einer Weise zu verwenden oder offenzulegen, die gegen geltende Bundes- und Landesgesetze verstoßen würde, wenn eine solche Verwendung oder Offenlegung durch den Kunden erfolgen würde.

ii. Der Kunde hält sich an alle geltenden Gesetze und Vorschriften in Bezug auf GGI, die er an den Geschäftspartner sendet oder senden lässt.

b. Benachrichtigungen.

i. Der Kunde wird den Geschäftspartner über jede Einschränkung in einer anwendbaren Datenschutzerklärung gemäß 45 CFR Abschnitt 164.520 informieren, soweit diese Einschränkung die Nutzung oder Offenlegung von GGI durch den Geschäftspartner beeinflussen kann.

ii. Der Kunde wird den Geschäftspartner über alle Änderungen oder den Widerruf der Erlaubnis zur Nutzung oder Weitergabe von GGI durch die betreffende Person informieren, soweit diese Änderungen die Nutzung oder Weitergabe von GGI durch den Geschäftspartner beeinflussen können.

iii. Der Kunde benachrichtigt den Geschäftspartner über jede Einschränkung der Nutzung oder Offenlegung von GGI, der der Kunde gemäß 45 CFR Abschnitt 164.522 zugestimmt hat, soweit diese Einschränkung die Nutzung oder Offenlegung von GGI durch den Geschäftspartner beeinträchtigen kann.

4. Laufzeit und Kündigung.

a. Wesentlicher Verstoß. Erlangt eine Vertragspartei Kenntnis von einem wesentlichen Verstoß gegen diese Bestimmungen durch die andere Partei, so gibt die Vertragspartei, die nicht gegen die Bestimmungen verstößt, der verletzenden Partei Gelegenheit zur Behebung. Wenn der betreffende Verstoß nicht innerhalb von zwanzig (20) Werktagen nach Eingang der Mitteilung der nicht verletzenden Partei über den Verstoß behoben wurde, wird die nicht verletzende Vertragspartei, sofern möglich, diese VGP und den/die von dem Verstoß betroffenen Teil(e) der Vereinbarung kündigen. Wenn eine der Parteien Kenntnis von einer wesentlichen Verletzung durch die andere Partei hat und eine Behebung nicht möglich ist, wird die Partei, die die Verletzung nicht begangen hat, diese VGP und den/die von der Verletzung betroffenen Teil(e) der Vereinbarung kündigen, sofern dies möglich ist.

b. Rückgabe oder Vernichtung von GGI. Bei Beendigung dieser VGP aus beliebigem Grund wird der Geschäftspartner:

i. Wenn möglich, wie vom Geschäftspartner festgelegt, alle GGI zurückgeben oder vernichten, die er von einem Geschäftspartner für oder im Namen des Kunden erhalten oder erstellt hat, die der Geschäftspartner (oder einer seiner Subunternehmer und Vertreter) noch in irgendeiner Form vorliegen hat; der Geschäftspartner wird zudem keine Kopien dieser Informationen aufbewahren; oder

ii. Wenn der Geschäftspartner feststellt, dass eine solche Rückgabe oder Vernichtung nicht durchführbar ist, wird der Schutz dieser VGP auf diese Informationen erweitert und die weitere Verwendung und Offenlegung auf die Zwecke, die die Rückgabe oder Vernichtung der GGI unmöglich machen, beschränkt. In diesem Fall überdauern die Verpflichtungen des Geschäftspartners gemäß Abschnitt 4(b) die Beendigung dieser VGP.

5. Allgemein.

a. Änderungen. Sollte eine der im Rahmen des HIPAA-Gesetzes erlassenen Vorschriften in einer Weise geändert oder ausgelegt werden, die diese VGP unvereinbar damit macht, werden die Parteien nach Treu und Glauben zusammenarbeiten, um diese VGP in dem Umfang zu ändern, der erforderlich ist, um diesen Änderungen oder Auslegungen zu entsprechen.

b. Interpretation. Alle Unklarheiten in dieser VGP werden gelöst, damit die Parteien das HIPAA-Gesetz einhalten können.

c. Schadloshaltung und Haftungsbeschränkung. Die Parteien vereinbaren und erkennen an, dass die in der Vereinbarung enthaltenen Entschädigungsverpflichtungen und Haftungsbeschränkungsbestimmungen gelten und die Leistung jeder Partei im Rahmen dieser VGP regeln.

d. Konflikt; Vorrangstellung. Für den Fall, dass eine Bestimmung dieser VGP mit einer Bestimmung der Vereinbarung in Konflikt steht, gelten die Bedingungen dieser VGP und haben Vorrang vor der widersprüchlichen Bestimmung in der Vereinbarung. Alle anderen, nicht widersprüchlichen Bestimmungen der Vereinbarung bleiben gültig und durchsetzbar.