Diese SpaceX Super Intelligence-Partner-Vereinbarung zur Auftragsverarbeitung („Partner-DPA“) ist Bestandteil der SpaceX Super Intelligence-Partnernetzwerk-Vereinbarung zwischen Anysphere, Inc., einer Gesellschaft nach dem Recht des Bundesstaates Texas („Anysphere“), und der juristischen Person, die diese Vereinbarung akzeptiert hat („Partner“) (die „Partnervereinbarung“). Diese Partner-DPA ist die in Abschnitt 12.2 (Data Processing Agreement) der Partnervereinbarung genannte Partner-Vereinbarung zur Auftragsverarbeitung und regelt die Verarbeitung personenbezogener Daten, die eine Partei im Zusammenhang mit dem Partnerprogramm von der anderen erhält. Diese Partner-DPA ist ein Nachtrag zur Partnervereinbarung, die unter https://cursor.com/terms/spn (oder einer von Anysphere festgelegten Nachfolge-URL) sowie über das Partnerportal abrufbar ist, und wird über das Partnerportal verwaltet.

Der Partner akzeptiert diese Partner-DPA, indem er die Partnervereinbarung akzeptiert, diese Partner-DPA im Partnerportal per Klick akzeptiert oder anderweitig am Partnerprogramm teilnimmt, nachdem ihm diese Partner-DPA vorgelegt oder Zugriff darauf gewährt wurde. Die natürliche Person, die diese Partner-DPA im Namen des Partners akzeptiert, sichert zu, dass sie befugt ist, den Partner sowie alle Verbundenen Unternehmen des Partners, die gemäß Abschnitt 2.3 der Partnervereinbarung zur Teilnahme am Partnerprogramm zugelassen sind, rechtlich zu binden.

1. Begriffsbestimmungen.

   1. Auslegung. In diesem Partner-DPA verwendete, aber nicht definierte großgeschriebene Begriffe haben die Bedeutung, die ihnen in der Partner-Vereinbarung zugewiesen wird. Die Begriffe „Verantwortlicher“ („Controller“), „Auftragsverarbeiter“, „betroffene Person“, „Verarbeitung“ (und „verarbeiten“), „Unternehmen“ („Business“), „Dienstleister“ („Service Provider“), „Auftragnehmer“, „Dritter“ („Third Party“), „verkaufen“, „teilen“ und „Aufsichtsbehörde“ haben die Bedeutung, die ihnen in den anwendbaren Datenschutzgesetzen zugewiesen wird, und schließen alle gleichwertigen Begriffe ein, die in diesen Gesetzen verwendet werden.

   2. Begriffsbestimmungen. In diesem Partner-DPA gilt Folgendes:

      „Compliance-Prüfungsdaten“ bezeichnet personenbezogene Daten zu Eigentümern, leitenden Angestellten, Direktoren, Mitarbeitenden oder Vertretern des Partners, die Anysphere erhebt, um die Berechtigung des Partners zur Teilnahme und fortgesetzten Teilnahme am Partnerprogramm zu prüfen, einschließlich Informationen über aktuelle oder frühere Tätigkeiten im öffentlichen Dienst oder Verbindungen zu staatlichen Stellen, Beschäftigungs- oder Geschäftsbeziehungen mit Anysphere oder deren Mitarbeitenden, den Sanktions- und Sperrlistenstatus sowie etwaige Verstöße, Selbstanzeigen, Untersuchungen, Anfragen, Vorwürfe oder Durchsetzungsmaßnahmen im Zusammenhang mit Gesetzen zur Korruptionsbekämpfung, zur Bekämpfung der Geldwäsche, zu Sanktionen oder zur Exportkontrolle.

      „Datenschutzgesetze“ bezeichnet alle Gesetze und Vorschriften in Bezug auf Privatsphäre, Datenschutz, Datensicherheit oder elektronisches Marketing, die auf die Verarbeitung personenbezogener Programmdaten durch eine Partei Anwendung finden, gegebenenfalls einschließlich: (a) der EU-Datenschutz-Grundverordnung 2016/679 („DSGVO“) und der ePrivacy-Richtlinie 2002/58/EG samt ihrer nationalen Umsetzungsgesetze; (b) der DSGVO in ihrer Form als Teil des Rechts des Vereinigten Königreichs („UK GDPR“), des UK Data Protection Act 2018 und der Privacy and Electronic Communications Regulations 2003; (c) des Schweizer Bundesgesetzes über den Datenschutz („DSG“); (d) der Datenschutzgesetze der US-Bundesstaaten; (e) des kanadischen Personal Information Protection and Electronic Documents Act und der kanadischen Anti-Spam-Gesetzgebung; (f) des australischen Privacy Act 1988 und Spam Act 2003; (g) des Personal Data Protection Act 2012 von Singapur; (h) des japanischen Act on the Protection of Personal Information; (i) des indischen Digital Personal Data Protection Act, 2023; und (j) des brasilianischen Lei Geral de Proteção de Dados; jeweils in ihrer jeweils geänderten, ersetzten oder ergänzten Fassung.

      „Offenlegende Partei“ bezeichnet die Partei (einschließlich ihrer Verbundenen Unternehmen und aller in ihrem Namen handelnden Personen), die der anderen Partei personenbezogene Programmdaten bereitstellt oder zugänglich macht, und „Empfangende Partei“ bezeichnet die Partei (einschließlich ihrer Verbundenen Unternehmen), die diese Daten erhält.

      „Vom Partner bereitgestellte Daten“ bezeichnet personenbezogene Programmdaten, die der Partner, seine Verbundenen Unternehmen oder in ihrem Auftrag handelnde Personen Anysphere oder dessen Verbundenen Unternehmen bereitstellen oder zugänglich machen.

      „Personenbezogene Daten“ bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, sowie alle sonstigen Informationen, die nach den Datenschutzgesetzen als „personenbezogene Daten“, „personenbezogene Informationen“ oder mit einem vergleichbaren Begriff bezeichnet werden.

      „Verletzung des Schutzes personenbezogener Daten“ bezeichnet eine Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugriff auf personenbezogene Programmdaten führt, während sich diese im Besitz, im Gewahrsam oder unter der Kontrolle der empfangenden Partei oder einer Person befinden, die sie im Auftrag der empfangenden Partei verarbeitet.

      „Programmbezogene personenbezogene Daten“ bezeichnet personenbezogene Daten, die eine offenlegende Partei der empfangenden Partei im Zusammenhang mit dem Partnerprogramm bereitstellt oder zugänglich macht, sei es über das Partnerportal, Formulare des Partnerprogramms, Einreichungen zur Deal-Registrierung, Tools zur Kontozuordnung, gemeinsam genutzte Kollaborationskanäle, E-Mail, Termine oder auf sonstige Weise; ausgenommen sind jedoch die in Abschnitt 2.2 beschriebenen Daten und Aktivitäten.

      „Eingeschränkte Übermittlung“ bezeichnet eine Übermittlung von Programm-Personenbezogenen-Daten, die der DSGVO, der UK GDPR oder dem DSG unterliegt, in ein Land oder Gebiet, dem die zuständige Behörde kein angemessenes Schutzniveau für personenbezogene Daten zuerkannt hat, sofern kein anderer rechtmäßiger Übermittlungsmechanismus greift.

      „SCCs“ bezeichnet die Standardvertragsklauseln im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Europäischen Kommission vom 4. Juni 2021 in der jeweils geänderten oder ersetzten Fassung; „Modul Eins“ und „Modul Zwei“ bezeichnen jeweils die Module „Übermittlung von Verantwortlichen an Verantwortliche“ und „Übermittlung von Verantwortlichen an Auftragsverarbeiter“ der SCCs.

      „Sensible Daten“ bezeichnet: (a) besondere Kategorien personenbezogener Daten, sensible personenbezogene Daten oder sensible personenbezogene Informationen im Sinne der Datenschutzgesetze, einschließlich Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische, biometrische oder Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer Person; (b) personenbezogene Daten über strafrechtliche Verurteilungen, Straftaten oder entsprechende Vorwürfe; (c) behördlich vergebene Kennungen, einschließlich Sozialversicherungs-, Steuer-Identifikations-, Reisepass- und Führerscheinnummern; (d) Finanzkonto-, Bankkonto- oder Zahlungskartennummern; (e) genaue Standortdaten; (f) Kontopasswörter und andere Zugangsdaten zur Authentifizierung; und (g) personenbezogene Daten von Kindern.

      „Von Anysphere bereitgestellte Daten“ bezeichnet personenbezogene Programmdaten, die Anysphere, seine Verbundenen Unternehmen oder in deren Auftrag handelnde Personen dem Partner oder dessen Verbundenen Unternehmen bereitstellen oder zugänglich machen.

      „SpaceXSI Privacy Notice“ bezeichnet den Datenschutzhinweis von Anysphere in seiner jeweils aktuellen Fassung, der unter https://cursor.com/privacy (oder einer von Anysphere festgelegten Nachfolge-URL) verfügbar ist.

      „UK Addendum“ bezeichnet das International Data Transfer Addendum zu den Standardvertragsklauseln der EU-Kommission (Version B.1.0), herausgegeben vom britischen Information Commissioner, in der jeweils geltenden geänderten oder ersetzten Fassung.

      „US State Privacy Laws“ bezeichnet den California Consumer Privacy Act of 2018 in der durch den California Privacy Rights Act of 2020 geänderten Fassung sowie die zu seiner Umsetzung erlassenen Durchführungsbestimmungen („CCPA“) und alle anderen umfassenden Verbraucherdatenschutzgesetze der US-Bundesstaaten, jeweils in ihrer aktuell geltenden Fassung.

2. Eingrenzen.

   1. Anwendungsbereich. Diese Partner-DPA gilt für die Verarbeitung von Programm-personenbezogenen Daten durch jede Partei, die sie von der jeweils anderen Partei erhält. Programm-personenbezogene Daten entstehen in der Regel aus den in Anhang 1 (Beschreibung der Verarbeitung) beschriebenen Aktivitäten des Partnerprogramms in der jeweils durch die Programmregeln aktualisierten Fassung.

   2. Ausschlüsse. Diese Partner-DPA gilt nicht für die folgenden Daten, und Programm-personenbezogene Daten umfassen diese nicht:

      1. Nutzung des Service durch den Partner. Personenbezogene Daten, die im Zusammenhang mit dem Erwerb, dem Zugriff auf oder der Nutzung des Service durch den Partner (oder seine Verbundenen Unternehmen) als Kunde verarbeitet werden, einschließlich im Rahmen eines Unternehmensplans, einer Evaluierungslizenz, einer Sandbox oder eines Zugriffs „not for resale“ (nicht zum Weiterverkauf); diese unterliegen dem Master Services Agreement oder anderen anwendbaren Kundenbedingungen, der unter https://cursor.com/terms/dpa verfügbaren Auftragsverarbeitungsvereinbarung sowie etwaigen anwendbaren Nutzungsbedingungen;

      2. Partnerleistungen und Kundendaten. Kundendaten sowie alle sonstigen personenbezogenen Daten, die der Partner bei der Erbringung von Partnerleistungen für einen Kunden oder im Rahmen einer Vereinbarung mit einem Kunden verarbeitet; diese unterliegen ausschließlich der Vereinbarung zwischen dem Partner und diesem Kunden. Erbringt der Partner Partnerleistungen für einen Kunden und stellt Anysphere demselben Kunden den Service bereit, verarbeitet jede Partei die personenbezogenen Daten dieses Kunden im Rahmen ihrer eigenen Vereinbarung mit dem Kunden, und keine Partei handelt als Auftragsverarbeiter oder Unterauftragsverarbeiter der anderen;

      3. Marketplace-Aktivitäten. Personenbezogene Daten, die im Zusammenhang mit einem Plugin oder der Teilnahme des Partners am Marketplace verarbeitet werden (einschließlich aller Daten, die in den SpaceXSI Marketplace Terms als „Plugin-Daten“ oder „Benutzerinhalte“ bezeichnet werden); diese unterliegen den SpaceXSI Marketplace Terms;

      4. Gesonderte Vereinbarungen. Personenbezogene Daten, die im Rahmen einer gesonderten schriftlichen Vereinbarung verarbeitet werden, die den Partner zum Weiterverkauf, zum Vertrieb oder zur Untervergabe des Service berechtigt, oder im Rahmen einer anderen gesonderten Vereinbarung zwischen den Parteien, die eigene Datenschutzbestimmungen enthält, jeweils soweit der Geltungsbereich dieser Vereinbarung reicht; und

      5. Unabhängig erhobene Daten. Personenbezogene Daten, die eine Partei unabhängig und nicht von der anderen Partei erhebt, selbst wenn sie sich auf dieselben Personen oder Organisationen beziehen, einschließlich personenbezogener Daten, die Anysphere direkt bei einem Kunden oder potenziellen Kunden erhebt.

   3. Verhältnis zu Abschnitt 12.1. Diese Partner-DPA ergänzt die Pflichten des Partners gemäß Abschnitt 12.1 (Hinweis und Einwilligung) der Partnervereinbarung, ohne sie einzuschränken.

3. Rollen der Parteien.

   1. Unabhängige Verantwortliche. Sofern in Abschnitt 8 (Auftragsverarbeitungsvereinbarungen) nicht anders festgelegt, handelt jede Partei in Bezug auf die personenbezogenen Programmdaten, die sie von der jeweils anderen Partei erhält, als unabhängiger Verantwortlicher (und, soweit nach den US State Privacy Laws anwendbar, als Business oder Drittanbieter). Jede Partei bestimmt die Zwecke und Mittel ihrer eigenen Verarbeitung eigenständig. Die Parteien sind keine gemeinsam Verantwortlichen, und keine Partei verarbeitet personenbezogene Programmdaten im Namen der anderen.

   2. Eigene Compliance jeder Partei. Jede Partei ist selbst dafür verantwortlich, bei ihrer Verarbeitung personenbezogener Programmdaten die Datenschutzgesetze einzuhalten, einschließlich der Bereitstellung von Informationen, der Schaffung einer Rechtsgrundlage, der Beantwortung von Anfragen betroffener Personen, der Führung von Verzeichnissen von Verarbeitungstätigkeiten sowie der Erfüllung ihrer Pflichten gegenüber Aufsichtsbehörden. Keine Partei darf personenbezogene Programmdaten wissentlich so verarbeiten, dass die andere Partei dadurch gegen Datenschutzgesetze verstößt.

4. Offenlegung personenbezogener Programmdaten.

   1. Rechtmäßige Offenlegung. Jede Offenlegende Partei stellt sicher, dass ihre Erhebung von Programm-Personenbezogenen Daten sowie deren Offenlegung gegenüber der Empfangenden Partei den Datenschutzgesetzen entsprechen. Unbeschadet von Abschnitt 12.1 (Hinweis und Einwilligung) der Partnervereinbarung sichert der Partner zu und gewährleistet, dass er für alle Vom Partner Bereitgestellten Daten sämtliche nach den Datenschutzgesetzen erforderlichen Hinweise erteilt, sämtliche Einwilligungen eingeholt und sämtliche Rechtsgrundlagen geschaffen hat, damit: (a) der Partner die Daten gegenüber Anysphere offenlegen darf; und (b) Anysphere die Daten für die in Abschnitt 5.1(a) beschriebenen Zwecke verarbeiten darf, einschließlich zur Kontaktaufnahme mit dem jeweiligen Kunden oder potenziellen Kunden bezüglich des Service sowie zur Überprüfung der Zusammenarbeit des Partners mit diesem Kunden.

   2. Hinweis an Kunden und potenzielle Kunden. Soweit nach geltendem Recht erforderlich, informiert der Partner die betroffenen Personen (oder stellt sicher, dass diese informiert wurden), bevor er eine Deal-Registrierung übermittelt oder personenbezogene Daten von Mitarbeitenden eines Kunden oder potenziellen Kunden anderweitig gegenüber Anysphere offenlegt, darüber, dass der Partner ihre Kontakt- und Opportunity-Informationen mit Anysphere teilen kann, dass Anysphere diese Informationen wie in der SpaceXSI-Datenschutzerklärung beschrieben nutzen kann und dass der Partner Vorteile aus dem Partnerprogramm erhalten kann, wenn der Kunde oder potenzielle Kunde bei Anysphere kauft. Der Partner legt gegenüber Anysphere keine personenbezogenen Daten von Personen offen, die der Weitergabe ihrer personenbezogenen Daten an Anysphere widersprochen oder dieser nicht zugestimmt haben (Opt-out).

   3. Hinweis an Personal des Partners. Der Partner informiert seine eigenen Mitarbeitenden, Auftragnehmer, Eigentümer, leitenden Angestellten und Direktoren sowie diejenigen seiner Verbundenen Unternehmen, deren personenbezogene Daten der Partner Anysphere bereitstellt (einschließlich Benutzer und Admins des Partnerportals, Personen, die Akkreditierungen anstreben, Mitglieder gemeinsamer Kollaborationskanäle sowie in Compliance-Screening-Daten identifizierte Personen), darüber, dass Anysphere ihre personenbezogenen Daten wie in diesem Partner-AVV und der SpaceXSI-Datenschutzerklärung beschrieben verarbeiten wird, unter anderem indem er ihnen die SpaceXSI-Datenschutzerklärung zur Verfügung stellt.

   4. Datenminimierung und sensible Daten. Jede Offenlegende Partei legt nur diejenigen Programm-Personenbezogenen Daten offen, die für den jeweiligen Zweck des Partnerprogramms vernünftigerweise erforderlich sind. Der Partner stellt Anysphere keine Sensiblen Daten bereit, es sei denn: (a) Anysphere fordert diese über ein Formular im Partnerportal, die Programmregeln oder eine andere schriftliche Anfrage an, etwa für die Zahlung von Gebühren benötigte Zahlungs- und Steuerinformationen oder Compliance-Screening-Daten; oder (b) Anysphere genehmigt dies anderweitig schriftlich. Jede solche Anfrage gilt als ausdrückliche schriftliche Anfrage von Anysphere im Sinne von Abschnitt 12.1 (Hinweis und Einwilligung) der Partnervereinbarung, beschränkt auf die angeforderten Sensiblen Daten. Bei der Übermittlung von Nachweisen über Marketingaktivitäten, Ergebnisse von Events oder ähnlichen Informationen verwendet der Partner, soweit praktikabel, aggregierte Metriken, Unternehmensdomains oder Berufsbezeichnungen anstelle personenbezogener Daten einzelner Personen.

   5. Richtigkeit und Aktualisierungen. Jede Offenlegende Partei unternimmt angemessene Schritte, um sicherzustellen, dass die von ihr offengelegten Programm-Personenbezogenen Daten richtig und aktuell sind, und benachrichtigt die Empfangende Partei unverzüglich, wenn sie Kenntnis davon erlangt, dass von ihr offengelegte Programm-Personenbezogene Daten unrichtig oder veraltet sind oder dass eine Person ihre Einwilligung in die Verarbeitung durch die Empfangende Partei widerrufen oder dieser widersprochen hat. Der Partner hält die Benutzerinformationen in seinem Partnerportal aktuell und benachrichtigt Anysphere unverzüglich über das Partnerportal oder unter partnersupport@x.ai, wenn eine Person mit einem Partnerportal-Konto, einer aktiven Akkreditierung oder einer Mitgliedschaft in einem gemeinsamen Kollaborationskanal die Organisation des Partners verlässt oder nicht mehr an den Partnerprogramm-Aktivitäten des Partners teilnimmt.

5. Verarbeitung durch die empfangende Partei.

   1. Zweckbindung.

      1. Anysphere. Anysphere darf vom Partner bereitgestellte Daten verarbeiten: (i) um das Partnerprogramm zu betreiben, zu verwalten und zu verbessern, einschließlich für die in Anhang 1 beschriebenen Zwecke; (ii) um den Service zu vermarkten, zu verkaufen, bereitzustellen und zu unterstützen sowie um seine Beziehungen zu den in den vom Partner bereitgestellten Daten genannten Kunden und potenziellen Kunden zu pflegen, jeweils im Einklang mit der SpaceXSI Privacy Notice und den Datenschutzgesetzen; (iii) um zu überprüfen, ob der Partner die Partnervereinbarung, die Programmregeln und das geltende Recht einhält, sowie um Betrug, Missbrauch und Sicherheitsvorfälle zu erkennen und zu verhindern; (iv) um gesetzlichen Pflichten nachzukommen und um Rechtsansprüche zu begründen, geltend zu machen oder abzuwehren; und (v) für jeden anderen Zweck, der nach den Datenschutzgesetzen zulässig und in der SpaceXSI Privacy Notice beschrieben ist.

      2. Partner. Der Partner darf von Anysphere bereitgestellte Daten ausschließlich für den konkreten Zweck im Rahmen des Partnerprogramms verarbeiten, für den Anysphere sie bereitgestellt hat (zum Beispiel die gemeinsame Vermarktung bei einer konkreten Verkaufschance, die Account-Planung mit Anysphere oder die Verwaltung der Teilnahme des Partners am Partnerprogramm), und zwar im Einklang mit der Partnervereinbarung, den Programmregeln, diesem Partner-AVV und den Datenschutzgesetzen. Dem Partner ist es untersagt, (i) von Anysphere bereitgestellte Daten zu verkaufen, zu vermieten oder zu lizenzieren; (ii) von Anysphere bereitgestellte Daten zu nutzen, um Produkte oder Services zu vermarkten oder zu bewerben, die mit dem Service im Wettbewerb stehen, oder für Marketingzwecke, die nicht mit dem Zweck zusammenhängen, für den Anysphere sie bereitgestellt hat; (iii) von Anysphere bereitgestellte Daten mit anderen Daten zu kombinieren, um Kontaktdatenbanken, Profile oder Lead-Listen für Zwecke zu erstellen oder anzureichern, die nicht mit dem Partnerprogramm zusammenhängen; oder (iv) von Anysphere bereitgestellte Daten an Dritte weiterzugeben, sofern dies nicht nach Abschnitt 5.4 zulässig ist.

      3. Sonstige Verarbeitung. Jede Partei darf personenbezogene Programmdaten zudem für einen anderen Zweck verarbeiten, sofern dies nach geltendem Recht erforderlich ist, zum Schutz lebenswichtiger Interessen einer natürlichen Person notwendig ist oder die betroffene Person in die Weiterverarbeitung eingewilligt hat.

   2. Transparenz. Jede Partei hat für ihre Verarbeitung von Programm-personenbezogenen Daten eine Datenschutzerklärung zu pflegen und verfügbar zu machen, die den Anforderungen der Datenschutzgesetze entspricht. Kontaktiert Anysphere eine Person, deren personenbezogene Daten Anysphere vom Partner erhalten hat, stellt Anysphere die nach den Datenschutzgesetzen erforderlichen Informationen innerhalb der vorgeschriebenen Frist bereit; dies kann bereits bei der ersten Kommunikation von Anysphere mit dieser Person erfolgen.

   3. Vertraulichkeit und Sicherheit. Jede empfangende Partei wird: (a) unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie der Risiken für betroffene Personen geeignete technische und organisatorische Maßnahmen implementieren und pflegen, um Programm-personenbezogene Daten vor Verletzungen des Schutzes personenbezogener Daten zu schützen, wobei diese Maßnahmen mindestens die in Anhang 2 (Mindestsicherheitsmaßnahmen) beschriebenen umfassen; (b) den Zugriff auf Programm-personenbezogene Daten auf Mitarbeitende, Auftragnehmer und Dienstleister beschränken, die für die nach Abschnitt 5.1 zulässigen Zwecke Zugriff benötigen; und (c) sicherstellen, dass Personen, die zur Verarbeitung von Programm-personenbezogenen Daten befugt sind, angemessenen Vertraulichkeitsverpflichtungen unterliegen. Der Partner ist gemäß Abschnitt 8 (Zugriff auf das Partnerportal) der Partnervereinbarung für die Sicherung seiner Partnerportal-Konten und Zugangsdaten verantwortlich.

   4. Dienstleister und Weitergabe an Dritte.

      1. Auftragsverarbeiter. Jede Empfangende Partei darf Auftragsverarbeiter und Dienstleister mit der Verarbeitung Programmbezogener Personenbezogener Daten in ihrem Auftrag betrauen, einschließlich Anbietern von Partnerportal- und Partner-Relationship-Management-Plattformen, Customer-Relationship-Management-Systemen, Tools zur Kontozuordnung, Kollaborations- und Kommunikationstools, Lernmanagementsystemen, Zahlungs- und Steuerdiensten, Cloud-Hosting sowie KI-gestützten Produktivitätstools. Die Empfangende Partei darf solche Auftragsverarbeiter nur auf Grundlage einer schriftlichen Vereinbarung beauftragen, die diese verpflichtet, Programmbezogene Personenbezogene Daten im Einklang mit diesem Partner-AVV und den Datenschutzgesetzen zu schützen, und bleibt für deren Verarbeitung verantwortlich.

      2. Verbundene Unternehmen von Anysphere. Anysphere darf Vom Partner Bereitgestellte Daten zu den in Abschnitt 5.1(a) beschriebenen Zwecken an seine Verbundenen Unternehmen weitergeben. Jedes Verbundene Unternehmen von Anysphere, das Vom Partner Bereitgestellte Daten erhält, hat diese gemäß diesem Partner-AVV zu verarbeiten.

      3. Sonstige Offenlegungen. Soweit nicht nach diesem Abschnitt 5.4 zulässig, darf eine Empfangende Partei Programmbezogene Personenbezogene Daten gegenüber Dritten nicht offenlegen, mit Ausnahme von: (i) ihren eigenen fachlichen Beratern und denen ihrer Verbundenen Unternehmen, sofern diese an Vertraulichkeitspflichten gebunden sind; (ii) einem Rechtsnachfolger im Zusammenhang mit einer Fusion, einer Übernahme, einer gesellschaftsrechtlichen Umstrukturierung oder einer Veräußerung aller oder im Wesentlichen aller ihrer Vermögenswerte, soweit nach der Partnervereinbarung zulässig; (iii) Offenlegungen, die nach geltendem Recht, aufgrund eines Gerichtsbeschlusses oder von einer zuständigen Behörde mit entsprechender Befugnis verlangt werden, vorbehaltlich Abschnitt 5.7; oder (iv) Offenlegungen, die anderweitig nach den Datenschutzgesetzen zulässig sind und, im Fall des Partners, mit vorheriger schriftlicher Zustimmung von Anysphere erfolgen.

   5. Anfragen betroffener Personen. Jede Partei ist für die Beantwortung von Anfragen von Personen verantwortlich, die ihre Rechte nach den Datenschutzgesetzen in Bezug auf die Programm-Personendaten geltend machen, über die diese Partei die Kontrolle hat. Erhält eine Partei eine Anfrage, die sich auf die Verarbeitung durch die andere Partei bezieht, so leitet sie die Anfrage, soweit rechtlich zulässig, unverzüglich (und in jedem Fall innerhalb von fünf (5) Geschäftstagen) an die andere Partei weiter oder teilt der Person mit, wie sie die andere Partei kontaktieren kann; die Parteien arbeiten bei der Beantwortung in angemessener Weise zusammen. Widerspricht eine Person Marketingmitteilungen, widerruft sie ihre Einwilligung oder verlangt sie die Löschung und ist die Anfrage für die Verarbeitung von Programm-Personendaten durch die andere Partei relevant, so benachrichtigt die Partei, die die Anfrage erhält, die andere Partei unverzüglich, damit diese alle nach den Datenschutzgesetzen erforderlichen Maßnahmen ergreifen kann.

   6. Verletzungen des Schutzes personenbezogener Daten. Die empfangende Partei benachrichtigt die offenlegende Partei unverzüglich, spätestens jedoch innerhalb von zweiundsiebzig (72) Stunden, nachdem ihr eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die von der offenlegenden Partei erhaltene Programm-Personendaten betrifft. Die Benachrichtigung beschreibt, soweit zu diesem Zeitpunkt bekannt, die Art der Verletzung des Schutzes personenbezogener Daten, die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Auswirkungen; die empfangende Partei ergänzt die Benachrichtigung, sobald weitere Informationen vorliegen. Die empfangende Partei ergreift angemessene Maßnahmen, um die Verletzung des Schutzes personenbezogener Daten einzudämmen, zu untersuchen und zu beheben, und arbeitet in angemessener Weise mit der offenlegenden Partei zusammen. Jede Partei ist für sämtliche Benachrichtigungen an Aufsichtsbehörden und betroffene Personen verantwortlich, zu denen sie als Verantwortlicher nach den Datenschutzgesetzen verpflichtet ist; die Parteien stimmen sich nach Treu und Glauben über Inhalt und Zeitpunkt dieser Benachrichtigungen ab. Sofern nicht gesetzlich vorgeschrieben, nennt keine Partei die andere Partei ohne deren vorherige schriftliche Zustimmung in einer Benachrichtigung oder öffentlichen Erklärung über eine Verletzung des Schutzes personenbezogener Daten. Der Partner sendet Benachrichtigungen gemäß diesem Abschnitt 5.6 an legal@cursor.com; solche Benachrichtigungen erfüllen hinsichtlich der Verletzung des Schutzes personenbezogener Daten zugleich Abschnitt 5(g) (Pflichten des Partners) der Partnervereinbarung.

   7. Anfragen von Behörden und Aufsichtsbehörden. Erhält eine empfangende Partei von einer Aufsichtsbehörde, einer Strafverfolgungsbehörde oder einer sonstigen staatlichen Stelle eine Anfrage nach Programm-Personendaten, die sie von der anderen Partei erhalten hat, so wird die empfangende Partei, soweit rechtlich zulässig, die offenlegende Partei unverzüglich benachrichtigen, nur das zur Beantwortung erforderliche Mindestmaß an Programm-Personendaten offenlegen und die offenlegende Partei in angemessener Weise dabei unterstützen, auf die Anfrage zu reagieren oder sie anzufechten.

   8. Aufbewahrung und Löschung.

      1. Allgemeines. Jede empfangende Partei bewahrt personenbezogene Programmdaten nur so lange auf, wie es für die gemäß Abschnitt 5.1 zulässigen Zwecke erforderlich ist, und löscht oder anonymisiert sie anschließend, sofern geltendes Recht nichts anderes vorschreibt oder zulässt.

      2. Von Anysphere bereitgestellte Daten. Bei Ablauf oder Beendigung der Partnervereinbarung oder auf vorherige schriftliche Aufforderung von Anysphere stellt der Partner die Nutzung der von Anysphere bereitgestellten Daten ein und löscht diese innerhalb von dreißig (30) Tagen (oder gibt sie auf Verlangen von Anysphere zurück). Auf Verlangen von Anysphere bestätigt der Partner dies schriftlich, es sei denn, geltendes Recht verpflichtet den Partner zur Aufbewahrung. Personenbezogene Programmdaten, die in routinemäßigen Backups gespeichert sind, können im Rahmen des regulären Backup-Zyklus des Partners gelöscht werden, sofern sie gemäß diesem Partner-DPA geschützt bleiben und nicht aktiv genutzt werden.

      3. Vom Partner bereitgestellte Daten. Anysphere darf vom Partner bereitgestellte Daten nach Ablauf oder Beendigung der Partnervereinbarung aufbewahren, soweit dies vernünftigerweise erforderlich ist, um: (i) Registrierungsgebühren, Empfehlungsgebühren und sonstige vor der Beendigung entstandene Beträge abzuwickeln; (ii) Aufzeichnungen zum Partnerprogramm zu führen, einschließlich für den in Abschnitt 20.5 (Aufzeichnungen) der Partnervereinbarung genannten Zeitraum; (iii) seine direkten Beziehungen zu Kunden und potenziellen Kunden fortzuführen; (iv) gesetzliche Verpflichtungen zu erfüllen; und (v) Rechtsansprüche zu begründen, geltend zu machen oder abzuwehren. Anysphere bewahrt Compliance-Screening-Daten nur so lange auf, wie es für die Compliance-Zwecke, zu denen sie erhoben wurden, erforderlich und nach geltendem Recht vorgeschrieben ist.

   9. Automatisierte Tools und KI. Anysphere kann automatisierte Tools, einschließlich KI-Modellen und Agenten, die von Anysphere, ihren Verbundenen Unternehmen oder ihren Dienstleistern betrieben werden, nutzen, um die Prüfung und Verarbeitung von Partner-Bewerbungen, Deal-Registrierungen, Anfragen zu Leistungen, eingereichten Marketingaktivitäten sowie sonstigen Einreichungen und Mitteilungen im Rahmen des Partnerprogramms zu unterstützen. Die Entscheidung, eine Partner-Bewerbung oder Deal-Registrierung zu genehmigen, abzulehnen, an Bedingungen zu knüpfen oder zu widerrufen, treffen Mitarbeitende von Anysphere. Anysphere wird keine Person einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterwerfen, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, es sei denn, dies ist nach den Datenschutzgesetzen zulässig. Anysphere wird in den vom Partner bereitgestellten Daten enthaltene personenbezogene Daten nicht zum Training von KI-Modellen verwenden, die Anysphere Dritten allgemein zur Verfügung stellt. Der Partner darf von Anysphere bereitgestellte Daten nicht in KI-Tools oder sonstige Drittanbieterdienste eingeben, die diese Daten zum Training von Modellen zugunsten anderer als des Partners oder anderweitig für eigene Zwecke verwenden.

   10. Zusammenarbeit. Jede Partei stellt der anderen Partei auf eigene Kosten angemessene Informationen und Unterstützung zur Verfügung, soweit dies erforderlich ist, damit die andere Partei ihre Pflichten nach den Datenschutzgesetzen in Bezug auf personenbezogene Programmdaten erfüllen kann, insbesondere im Zusammenhang mit Datenschutz-Folgenabschätzungen, Verzeichnissen von Verarbeitungstätigkeiten und Anfragen von Aufsichtsbehörden.

6. Datenschutzgesetze der US-Bundesstaaten.

   1. Kein Verkauf. Die Parteien erkennen an, dass etwaige Registrierungsgebühren, Empfehlungsgebühren oder sonstige Partnervorteile, die im Rahmen des Partnerprogramms gewährt werden, eine Gegenleistung für die Empfehlungs-, Akquise-, Co-Selling- und damit verbundenen Leistungen des Partners gemäß Abschnitt 7 (Deal-Registrierung, Gebühren und Zahlung) der Partnervereinbarung darstellen und nicht für programmbezogene personenbezogene Daten gewährt werden. Keine Partei legt der anderen Partei programmbezogene personenbezogene Daten im Austausch gegen eine monetäre oder sonstige geldwerte Gegenleistung offen, und die Parteien beabsichtigen nicht, dass eine Offenlegung im Rahmen dieses Partner-DPA einen Verkauf (sale) oder eine Weitergabe (sharing) personenbezogener Daten im Sinne der US State Privacy Laws darstellt.

   2. Bedingungen für Drittanbieter. Soweit eine empfangende Partei programmbezogene personenbezogene Daten als Drittanbieter (third party) im Sinne der US State Privacy Laws erhält oder eine Offenlegung im Rahmen dieses Partner-DPA anderweitig als Verkauf oder Weitergabe gilt, ist die empfangende Partei verpflichtet: (a) diese programmbezogenen personenbezogenen Daten ausschließlich für die begrenzten und festgelegten Zwecke gemäß Abschnitt 5.1 und Anhang 1 zu verarbeiten; (b) ihre geltenden Verpflichtungen nach den US State Privacy Laws einzuhalten und für diese programmbezogenen personenbezogenen Daten dasselbe Datenschutzniveau zu gewährleisten, das die US State Privacy Laws verlangen; (c) der offenlegenden Partei nach schriftlicher Mitteilung zu gestatten, angemessene und geeignete Maßnahmen zu ergreifen, um sicherzustellen, dass die empfangende Partei diese programmbezogenen personenbezogenen Daten in einer Weise nutzt, die mit den Verpflichtungen der offenlegenden Partei nach den US State Privacy Laws im Einklang steht, sowie jede unbefugte Nutzung zu unterbinden und deren Folgen zu beheben; (d) die offenlegende Partei zu benachrichtigen, wenn sie feststellt, dass sie ihre Verpflichtungen nach den US State Privacy Laws nicht mehr erfüllen kann; und (e) jeden Widerspruch (Opt-out) und jede sonstige Verbraucheranfrage zu beachten, die ihr die offenlegende Partei gemäß den Anforderungen der US State Privacy Laws übermittelt.

7. Internationale Datenübermittlungen.

   1. Allgemeines. Jede Partei darf personenbezogene Programmdaten in den Vereinigten Staaten und in jedem anderen Land verarbeiten, in dem sie, ihre Verbundenen Unternehmen oder ihre Auftragsverarbeiter tätig sind, sofern sie die Übermittlungsanforderungen der Datenschutzgesetze einhält.

   2. Übermittlungen aus dem EWR. Soweit eine Offenlegung personenbezogener Programmdaten durch die offenlegende Partei an die empfangende Partei eine eingeschränkte Übermittlung darstellt, die der DSGVO unterliegt, vereinbaren die Parteien Modul Eins der SCCs (oder, sofern Abschnitt 8 Anwendung findet und die empfangende Partei als Auftragsverarbeiter der offenlegenden Partei handelt, Modul Zwei der SCCs), die durch Verweis in diese Partner-DPA einbezogen werden, wobei Folgendes gilt:

      1. Die offenlegende Partei ist der „Datenexporteur“ und die empfangende Partei der „Datenimporteur“;

      2. die optionale Kopplungsklausel in Klausel 7 findet Anwendung;

      3. in Klausel 9 von Modul Zwei findet Option 2 (allgemeine schriftliche Genehmigung) Anwendung, mit der in Abschnitt 8.2(d) festgelegten Mitteilungsfrist;

      4. die optionale Formulierung in Klausel 11(a) findet keine Anwendung;

      5. in Klausel 13 wird die zuständige Aufsichtsbehörde gemäß Klausel 13(a) bestimmt; ist der Datenexporteur nicht im EWR niedergelassen und hat er keinen Vertreter gemäß Artikel 27 der DSGVO benannt, ist die irische Datenschutzkommission (Irish Data Protection Commission) die zuständige Aufsichtsbehörde;

      6. in Klausel 17 findet Option 1 Anwendung, und die SCCs unterliegen irischem Recht;

      7. gemäß Klausel 18(b) werden Streitigkeiten vor den irischen Gerichten beigelegt;

      8. Anhang I der SCCs wird mit den Angaben in Anlage 1 zu dieser Partner-DPA ausgefüllt; und

      9. Anhang II der SCCs wird mit den Angaben in Anlage 2 zu dieser Partner-DPA ausgefüllt.

   3. Übermittlungen aus dem Vereinigten Königreich. Soweit eine eingeschränkte Übermittlung der UK-DSGVO unterliegt, finden die SCCs gemäß Abschnitt 7.2 in der durch das UK Addendum geänderten Fassung Anwendung, das durch Verweis in diese Partner-DPA einbezogen wird, wobei: (a) die Tabellen 1 bis 3 des UK Addendum mit den Angaben in Abschnitt 7.2 sowie den Anlagen 1 und 2 zu dieser Partner-DPA ausgefüllt werden; und (b) für Tabelle 4 gilt, dass keine Partei das UK Addendum gemäß Abschnitt 19 des UK Addendum beenden darf.

   4. Übermittlungen aus der Schweiz. Soweit eine eingeschränkte Übermittlung dem DSG unterliegt, finden die SCCs gemäß Abschnitt 7.2 mit folgenden Änderungen Anwendung: (a) Verweise auf die DSGVO gelten als Verweise auf das DSG; (b) Verweise auf die „EU“, die „Union“ und den „Mitgliedstaat“ schließen die Schweiz ein, und der Begriff „Mitgliedstaat“ hindert betroffene Personen in der Schweiz nicht daran, Ansprüche an ihrem gewöhnlichen Aufenthaltsort geltend zu machen; und (c) die zuständige Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte.

   5. Alternative Übermittlungsmechanismen. Eine Partei kann sich anstelle der SCCs auf einen Angemessenheitsbeschluss, das EU-U.S. Data Privacy Framework und dessen Erweiterungen für das Vereinigte Königreich und die Schweiz (sofern diese Partei zertifiziert ist) oder einen anderen nach den Datenschutzgesetzen anerkannten Übermittlungsmechanismus stützen. Wird ein Übermittlungsmechanismus, auf den sich eine Partei gemäß diesem Abschnitt 7 stützt, für ungültig erklärt oder steht er nicht mehr zur Verfügung, arbeiten die Parteien nach Treu und Glauben zusammen, um einen alternativen rechtmäßigen Übermittlungsmechanismus zu implementieren, und Anysphere kann diese Partner-DPA zu diesem Zweck gemäß Abschnitt 11.2 aktualisieren.

   6. Andere Rechtsordnungen. Sofern die Datenschutzgesetze einer anderen Rechtsordnung spezifische vertragliche Bestimmungen für die Übermittlung personenbezogener Programmdaten außerhalb dieser Rechtsordnung verlangen, vereinbaren die Parteien, dass diese Partner-DPA (einschließlich, soweit zulässig, der für diese Rechtsordnung angepassten SCCs) diese Bestimmungen darstellt, und jede Partei schließt alle zusätzlichen Übermittlungsbedingungen ab, die Anysphere zur Erfüllung dieser Anforderungen in angemessener Weise über das Partnerportal bereitstellt.

   7. Widersprüche. Im Falle eines Widerspruchs zwischen dieser Partner-DPA und den SCCs (auch in der durch das UK Addendum oder Abschnitt 7.4 geänderten Fassung) haben die SCCs im Umfang des Widerspruchs Vorrang.

8. Vereinbarungen mit Auftragsverarbeitern.

   1. Anwendungsbereich. Dieser Abschnitt 8 gilt nur, wenn die Parteien in einem Nachtrag, den Programmregeln oder einem anderen Schriftstück ausdrücklich vereinbaren, dass eine Partei (die „verarbeitende Partei“) Programm-personenbezogene Daten im Namen und auf dokumentierte Weisung der anderen Partei (der „weisungsgebenden Partei“) verarbeitet, beispielsweise wenn der Partner im Namen von Anysphere Anmeldungen für eine von Anysphere ausgerichtete Veranstaltung entgegennimmt. Für diese Verarbeitung ist die weisungsgebende Partei der Verantwortliche und die verarbeitende Partei ihr Auftragsverarbeiter (und, soweit zutreffend, ihr Service Provider oder Contractor im Sinne der US State Privacy Laws); die Abschnitte 3.1 und 5.1 finden auf diese Verarbeitung keine Anwendung.

   2. Pflichten des Auftragsverarbeiters. Die verarbeitende Partei wird:

      1. die Programm-personenbezogenen Daten nur auf dokumentierte Weisung der weisungsgebenden Partei verarbeiten, auch im Hinblick auf Übermittlungen, sofern geltendes Recht nichts anderes vorschreibt (in diesem Fall unterrichtet sie die weisungsgebende Partei vor der Verarbeitung, sofern das Recht dies nicht verbietet), und die weisungsgebende Partei unverzüglich informieren, wenn eine Weisung ihrer Auffassung nach gegen Datenschutzgesetze verstößt;

      2. sicherstellen, dass sich die zur Verarbeitung der Programm-personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben;

      3. die in Anhang 2 beschriebenen Maßnahmen sowie, soweit anwendbar, alle weiteren nach Artikel 32 DSGVO erforderlichen Maßnahmen umsetzen;

      4. keinen weiteren Auftragsverarbeiter ohne vorherige allgemeine schriftliche Genehmigung der weisungsgebenden Partei in Anspruch nehmen, die die weisungsgebende Partei hiermit für die von der verarbeitenden Partei bei Vereinbarung der Regelung benannten Auftragsverarbeiter erteilt; die weisungsgebende Partei mindestens dreißig (30) Tage im Voraus (was Anysphere über das Partnerportal oder seine Seite zu Unterauftragsverarbeitern tun kann) über jede beabsichtigte Hinzuziehung oder Ersetzung informieren, wobei die weisungsgebende Partei innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben kann; jeden Auftragsverarbeiter schriftlich an Bedingungen binden, die mindestens dasselbe Schutzniveau wie dieser Abschnitt 8 bieten; und für die Leistung jedes Auftragsverarbeiters haftbar bleiben;

      5. unter Berücksichtigung der Art der Verarbeitung die weisungsgebende Partei mit geeigneten Maßnahmen bei der Beantwortung von Anfragen betroffener Personen sowie bei der Erfüllung ihrer Pflichten in Bezug auf Sicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und vorherige Konsultation der Aufsichtsbehörden unterstützen;

      6. die weisungsgebende Partei unverzüglich, in jedem Fall jedoch innerhalb von achtundvierzig (48) Stunden, benachrichtigen, nachdem ihr eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die von ihr im Namen der weisungsgebenden Partei verarbeiteten Programm-personenbezogenen Daten betrifft;

      7. nach Wahl der weisungsgebenden Partei die Programm-personenbezogenen Daten nach Abschluss der Verarbeitung löschen oder zurückgeben und vorhandene Kopien löschen, sofern geltendes Recht keine Aufbewahrung vorschreibt;

      8. der weisungsgebenden Partei die Informationen zur Verfügung stellen, die vernünftigerweise erforderlich sind, um die Einhaltung dieses Abschnitts 8 nachzuweisen, und Audits, einschließlich Inspektionen, durch die weisungsgebende Partei oder einen von ihr beauftragten unabhängigen Prüfer ermöglichen und dazu beitragen, und zwar höchstens einmal innerhalb von zwölf (12) Monaten (außer nach einer Verletzung des Schutzes personenbezogener Daten oder wenn eine Aufsichtsbehörde dies verlangt), mit einer Vorankündigung von mindestens dreißig (30) Tagen, vorbehaltlich angemessener Vertraulichkeitspflichten und auf Kosten der weisungsgebenden Partei, wobei die verarbeitende Partei stattdessen aktuelle unabhängige Zertifizierungen oder Auditberichte vorlegen kann, sofern diese den Umfang des Audits angemessen abdecken; und

      9. soweit US State Privacy Laws gelten: die Programm-personenbezogenen Daten weder verkaufen noch teilen; sie weder für andere Zwecke als die von der weisungsgebenden Partei festgelegten Geschäftszwecke noch außerhalb der direkten Geschäftsbeziehung zwischen den Parteien aufbewahren, nutzen oder offenlegen; sie nicht mit personenbezogenen Daten aus anderen Quellen zusammenführen, außer soweit nach US State Privacy Laws zulässig; die US State Privacy Laws einhalten und das von ihnen geforderte Datenschutzniveau gewährleisten; die weisungsgebende Partei benachrichtigen, wenn sie ihre Pflichten nicht mehr erfüllen kann; und der weisungsgebenden Partei gestatten, angemessene und geeignete Maßnahmen zu ergreifen, um jede unbefugte Nutzung zu unterbinden und deren Folgen zu beheben.

9. Haftung und Rechtsbehelfe.

   1. Haftung. Die Haftung jeder Partei, die sich aus diesem Partner-DPA ergibt oder damit in Zusammenhang steht, einschließlich der Haftung nach den SCCs im Verhältnis zwischen den Parteien, unterliegt Abschnitt 17 (Haftungsbeschränkung) der Partner-Vereinbarung, einschließlich der dortigen Regelungen zu Ausgeschlossenen Ansprüchen, in der durch einen anwendbaren Nachtrag geänderten Fassung. Keine Bestimmung dieses Partner-DPA beschränkt die Haftung einer Partei gegenüber betroffenen Personen nach den SCCs oder eine Haftung, die nach geltendem Recht nicht beschränkt werden kann.

   2. Freistellung. Ein Verstoß des Partners gegen dieses Partner-DPA gilt als Verstoß gegen die Partner-Vereinbarung im Sinne von Abschnitt 16.1 (Freistellung durch den Partner) der Partner-Vereinbarung.

   3. Aussetzung. Verstößt der Partner gegen dieses Partner-DPA oder geht Anysphere begründet davon aus, dass die weitere Offenlegung personenbezogener Programmdaten gegenüber dem Partner gegen Datenschutzgesetze verstoßen würde, kann Anysphere – zusätzlich zu seinen Rechten nach Abschnitt 18 (Laufzeit und Kündigung) der Partner-Vereinbarung – ohne eigene Haftung die Offenlegung von durch Anysphere bereitgestellten Daten gegenüber dem Partner sowie die Möglichkeit des Partners, personenbezogene Programmdaten einzureichen, aussetzen.

10. Compliance-Verifizierung.

    1. Partner. Auf angemessene schriftliche Anfrage von Anysphere, höchstens einmal innerhalb eines Zeitraums von zwölf (12) Monaten (außer nach einer Verletzung des Schutzes personenbezogener Daten, auf Anfrage einer Aufsichtsbehörde oder wenn Anysphere einen begründeten Verdacht auf Nichteinhaltung hat), füllt der Partner einen angemessenen schriftlichen Fragebogen zu Datenschutz und Sicherheit aus und stellt angemessene Nachweisunterlagen bereit, die belegen, dass er diese Partner-DPA einhält. Die Rechte von Anysphere gemäß Abschnitt 20.5 (Aufzeichnungen) der Partnervereinbarung erstrecken sich auch auf die Einhaltung dieser Partner-DPA durch den Partner.

    2. Anysphere. Anysphere stellt Informationen über sein Sicherheitsprogramm, einschließlich seines SOC 2 Type II-Berichts, über sein Trust Center unter https://trust.cursor.com (oder unter einer anderen URL, die Anysphere dem Partner gegebenenfalls per Mitteilung bekannt gibt) zur Verfügung und beantwortet angemessene schriftliche Fragen des Partners zur Verarbeitung der vom Partner bereitgestellten Daten durch Anysphere.

11. Laufzeit, Aktualisierungen und Allgemeines.

    1. Laufzeit. Diese Partner-DPA tritt zum früheren der folgenden Zeitpunkte in Kraft: (a) dem Datum, an dem der Partner diese Partner-DPA über das Partnerportal akzeptiert (einschließlich durch Akzeptieren der Partnervereinbarung); oder (b) dem Datum der ersten Teilnahme des Partners am Partnerprogramm, soweit von Anysphere gestattet, nachdem ihm diese Partner-DPA vorgelegt oder Zugriff darauf gewährt wurde. Sie gilt so lange fort, wie eine der Parteien Programmbezogene personenbezogene Daten verarbeitet, die sie von der anderen Partei erhalten hat. Die Abschnitte 5.8, 9 und 11 gelten über ein Auslaufen oder eine Beendigung dieser Partner-DPA oder der Partnervereinbarung hinaus fort.

    2. Aktualisierungen. Anysphere kann diese Partner-DPA gemäß Abschnitt 20.4 (Änderungen und Programmaktualisierungen) der Partnervereinbarung aktualisieren, indem die aktualisierte Partner-DPA im Partnerportal oder unter der jeweils maßgeblichen URL veröffentlicht wird. Aktualisierungen, die zur Einhaltung von Datenschutzgesetzen oder von Leitlinien bzw. Entscheidungen einer Aufsichtsbehörde erforderlich sind, können mit ihrer Veröffentlichung oder zu einem anderen gesetzlich vorgeschriebenen Zeitpunkt wirksam werden. Aktualisierungen ändern die SCCs oder das UK Addendum nicht, es sei denn, um eine von der zuständigen Behörde herausgegebene geänderte oder ersetzende Fassung zu übernehmen.

    3. Rangfolge. Diese Partner-DPA ist einer der Anhänge (Addenda) zur Partnervereinbarung. Soweit in dieser Partner-DPA nicht anders bestimmt, bleibt die Partnervereinbarung unverändert und in vollem Umfang wirksam. Im Hinblick auf die Verarbeitung Programmbezogener personenbezogener Daten gilt bei Widersprüchen im Umfang des jeweiligen Widerspruchs folgende Rangfolge: (a) die SCCs, soweit sie anwendbar sind; (b) diese Partner-DPA; (c) die Partnervereinbarung und alle sonstigen Anhänge; und (d) die Programmregeln.

    4. Anwendbares Recht und Streitigkeiten. Soweit die SCCs oder Datenschutzgesetze nichts anderes vorschreiben, unterliegt diese Partner-DPA dem in Abschnitt 19 (Streitbeilegung) der Partnervereinbarung festgelegten Recht, und Streitigkeiten aus dieser Partner-DPA werden auf die dort festgelegte Weise beigelegt.

    5. Verbundene Unternehmen. Sofern verbundene Unternehmen des Partners gemäß Abschnitt 2.3 der Partnervereinbarung am Partnerprogramm teilnehmen, akzeptiert der Partner diese Partner-DPA in ihrem Namen, stellt sicher, dass sie diese einhalten, und bleibt für deren Einhaltung haftbar. Verbundene Unternehmen von Anysphere, die vom Partner bereitgestellte Daten verarbeiten, können sich als ausdrücklich begünstigte Dritte auf diese Partner-DPA berufen und sie durchsetzen, und zwar zusätzlich zu den Rechten begünstigter Dritter gemäß Abschnitt 20.6 (Begünstigte Dritte) der Partnervereinbarung.

    6. Datenschutzkontakte. Der Partner benennt im Partnerportal einen Datenschutzkontakt; andernfalls kann Anysphere Mitteilungen gemäß dieser Partner-DPA an den Partnerportal-Admin des Partners senden. Datenschutzkontakt von Anysphere ist legal@cursor.com bzw. sind die sonstigen Kontaktdaten, die Anysphere jeweils über das Partnerportal oder per E-Mail an den benannten Datenschutzkontakt des Partners mitteilt.

    7. Keine weiteren begünstigten Dritten. Soweit nicht in Abschnitt 11.5 bestimmt oder in den SCCs für betroffene Personen vorgesehen, begründet diese Partner-DPA keine Rechte Dritter.

ANHANG 1 – Beschreibung der Verarbeitung

Dieser Anhang 1 gilt zugleich als Anhang I der SCCs, sofern die SCCs gemäß Abschnitt 7 Anwendung finden.

Teil A – Liste der Parteien

Teil B – Verarbeitung nach Tätigkeit im Partnerprogramm

Teil C – Weitere Angaben zur Verarbeitung

Zwecke der Verarbeitung: Wie in Abschnitt 5.1 beschrieben.

Art der Verarbeitung: Erhebung, Erfassung, Organisation, Ordnung, Speicherung, Abruf, Abfrage, Nutzung, Analyse (einschließlich automatisierter und KI-gestützter Überprüfung gemäß Abschnitt 5.9), Offenlegung durch Übermittlung, Abgleich oder Verknüpfung, Einschränkung, Löschung und Vernichtung.

Sensible Daten: Die Parteien beabsichtigen keinen Austausch sensibler Daten mit Ausnahme von (a) Compliance-Screening-Daten, die Informationen über Verbindungen zum öffentlichen Sektor und mutmaßliche Straftaten enthalten können, sowie (b) Zahlungs- und Steuerkennungen. Schutzmaßnahmen: Zweckbindung, Zugriffsbeschränkungen nach dem Need-to-know-Prinzip, Verschlüsselung bei der Übertragung und im Ruhezustand sowie begrenzte Aufbewahrung, wie in den Abschnitten 4.4 und 5.8 beschrieben.

Häufigkeit der Übermittlung: Fortlaufend für die Dauer der Partnervereinbarung.

Aufbewahrungsfrist: Wie in Abschnitt 5.8 beschrieben.

Empfänger und Weiterübermittlungen: Wie in Abschnitt 5.4 beschrieben.

Zuständige Aufsichtsbehörde: Für Übermittlungen aus dem EWR wie in Abschnitt 7.2(e) beschrieben; für Übermittlungen aus dem Vereinigten Königreich der UK Information Commissioner; für Übermittlungen aus der Schweiz der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte.

ANHANG 2 – Mindestsicherheitsmaßnahmen

Dieser Anhang 2 bildet zugleich Anhang II der SCCs, sofern die SCCs gemäß Abschnitt 7 Anwendung finden. Jede Partei hat für personenbezogene Programmdaten in ihrem Besitz, ihrer Obhut oder unter ihrer Kontrolle mindestens die folgenden Maßnahmen aufrechtzuerhalten:

1. Governance. Ein schriftliches Informationssicherheitsprogramm mit einer benannten verantwortlichen Person sowie Sicherheits- und Datenschutzrichtlinien, die mindestens jährlich überprüft werden.

2. Zugriffskontrolle. Rollenbasierter Zugriff nach dem Prinzip der geringsten Rechte, eindeutige Benutzerkennungen, Multi-Faktor-Authentifizierung für Systeme, in denen personenbezogene Programmdaten gespeichert werden (einschließlich Partnerportal-Konten, sofern verfügbar), sowie unverzüglicher Entzug des Zugriffs, in jedem Fall innerhalb von fünf (5) Werktagen, nachdem eine Person ihre Rolle wechselt oder die Organisation verlässt.

3. Personal. Vertraulichkeitsverpflichtungen für sämtliches Personal mit Zugriff, Hintergrundüberprüfungen, soweit rechtlich zulässig und für die Rolle angemessen, sowie mindestens jährliche Sicherheits- und Datenschutzschulungen.

4. Verschlüsselung. Verschlüsselung personenbezogener Programmdaten bei der Übertragung mittels TLS 1.2 oder höher sowie im Ruhezustand mittels branchenüblicher Verschlüsselung.

5. Endpunkt- und Netzwerksicherheit. Verwaltete Geräte mit Endpunktschutz, zeitnahes Einspielen von Sicherheitspatches sowie Netzwerkkontrollen wie Firewalls und Angriffserkennung.

6. Protokollierung und Überwachung. Protokollierung des Zugriffs auf Systeme, in denen personenbezogene Programmdaten gespeichert werden, sowie eine Überwachung, die darauf ausgelegt ist, unbefugten Zugriff zu erkennen.

7. Schwachstellenmanagement. Regelmäßige Schwachstellenscans und zeitnahe Behebung festgestellter Schwachstellen entsprechend ihrem Schweregrad.

8. Verwaltung von Auftragsverarbeitern. Sicherheits- und Datenschutzprüfung von Auftragsverarbeitern vor deren Beauftragung sowie schriftliche vertragliche Schutzbestimmungen, die mit diesem Partner-DPA im Einklang stehen.

9. Reaktion auf Störungen. Ein dokumentierter und regelmäßig getesteter Plan zur Reaktion auf Störungen, der es der Partei ermöglicht, die Meldefristen dieses Partner-DPA einzuhalten.

10. Geschäftskontinuität. Dem Risiko angemessene Sicherungs- und Wiederherstellungsverfahren.

11. Datenminimierung und Entsorgung. Beschränkung der Erhebung auf das erforderliche Maß sowie sichere Löschung oder Anonymisierung personenbezogener Programmdaten, sobald diese nicht mehr benötigt werden.

12. Zugelassene Tools. Verarbeitung personenbezogener Programmdaten ausschließlich in genehmigten Geschäftssystemen und nicht in privaten E-Mail-Konten, auf privaten Geräten ohne angemessene Kontrollen oder in nicht genehmigten KI-Tools.

Darüber hinaus unterhält Anysphere die technischen und organisatorischen Maßnahmen, die in seinem SOC 2 Type II-Bericht und in seinem Trust Center unter https://trust.cursor.com (oder einer anderen URL, die Anysphere dem Partner von Zeit zu Zeit durch Mitteilung bekannt gibt) beschrieben sind.