Lyve HIPAA-Zusatz für Geschäftspartner

Dieser LYVE HIPAA-ZUSATZ FÜR GESCHÄFTSPARTNER (Lyve Cloud HIPAA Business Associate Addendum, kurz „BAA“) wird durch Bezugnahme in die Lyve-Kundenvereinbarung, -Bestellung oder eine andere Vereinbarung aufgenommen; der Zusatz ist ein Anhang der Vereinbarung zwischen Seagate und dem Unternehmen, wie sie in der Vereinbarung definiert wurden. In diesem BAA werden das Unternehmen und Seagate jeweils als „Partei“ und zusammen als „Parteien“ bezeichnet.

Dieser BAA tritt (i) am Tag des Abschlusses der Vereinbarung in Kraft, oder (ii), wenn die Vereinbarung elektronisch geschlossen wurde, an dem Tag, an dem die Vereinbarung elektronisch vom Unternehmen akzeptiert wurde, in Kraft.

Um jeden Zweifel auszuschließen, muss das Unternehmen eine bestehende Vereinbarung haben, in der das Unternehmen Seagate darauf hingewiesen und aufgeführt hat, dass es geschützte Gesundheitsdaten (wie in der nachfolgenden Definition festgelegt) in Unternehmensdaten aufnehmen wird, die in den Diensten enthalten sind, und diese Vereinbarung muss aktuell vorhanden sein und gelten, damit dieser BAA gültig und wirksam ist. Gemeinsam mit der Vereinbarung regelt dieser BAA die jeweiligen Pflichten der Parteien hinsichtlich dieser geschützten Gesundheitsdaten.

HINTERGRUND

1. Das Unternehmen ist eine „betroffene Einrichtung“ oder ein „Geschäftspartner“ einer betroffenen Einrichtung, wie jeweils im Health Insurance Portability and Accountability Act von 1996, Public Law 104-191, definiert und durch den HITECH Act (wie nachfolgend definiert) sowie die entsprechenden Vorschriften, die durch das Ministerium für Gesundheitspflege und Soziale Dienste der Vereinigten Staaten (United States Department of Health and Human Services, abgekürzt „HHS“) (wie nachfolgend definiert) festgelegt wurden (zusammengefasst als „HIPAA“ bezeichnet) abgeändert, und muss daher die HIPAA-Vorgaben zum Schutz und zur Vertraulichkeit geschützter Gesundheitsdaten (wie nachfolgend definiert) einhalten;
2. Die Parteien haben diese Vereinbarung geschlossen, im Rahmen derer Seagate bestimmte Dienste für das Unternehmen bereitstellt oder bereitstellen wird, die hier aufgeführt werden;
3. Durch die Bereitstellung der Dienste im Rahmen dieser Vereinbarung kann Seagate Zugriff auf geschützte Gesundheitsdaten erhalten;
4. Durch die Bereitstellung der Dienste im Rahmen dieser Vereinbarung wird Seagate zu einem „Geschäftspartner“ des Unternehmens;
5. Beide Parteien haben sich der Einhaltung aller geltenden bundesstaatlichen und staatlichen US-Gesetze zum Schutz und zur Vertraulichkeit von Gesundheitsdaten verschrieben, darunter die Privacy Rule (wie nachfolgend definiert) und
6. beide Parteien beabsichtigen die Vertraulichkeit der geschützten Gesundheitsdaten, die gemäß den Bedingungen dieser Vereinbarung, dieses BAA, der HIPAA-Vorgaben und anderer geltenden Gesetze Seagate gegenüber offengelegt werden, sicherstellen und diese Daten schützen.

EINVERSTÄNDNISERKLÄRUNG

Die Parteien treffen hiermit folgende Vereinbarungen:

1. Begriffsbestimmungen. Für den Zweck dieses BAA definieren die Parteien nachstehend die einzelnen Begriffe in diesem Abschnitt 1 folgendermaßen. Die in diesem BAA festgelegten, aber nicht anderweitig definierten Begriffe haben die Bedeutung, die ihnen die Vereinbarung, das HIPAA-Gesetz, die Privacy Rule oder das geltende Gesetz gibt.
   1. „Geschäftspartner“ wird entsprechend der Definition nach HIPAA definiert.
   2. „Verstoß“ bezeichnet den Erwerb, Zugriff, die Nutzung oder Weitergabe geschützter Gesundheitsdaten auf eine Weise, die nicht durch die Privacy Rule gedeckt ist und die den Schutz und die Vertraulichkeit der geschützten Gesundheitsdaten wie in 45 CFR, Paragraf 164.402 gefährdet.
   3. „CFR“ bezeichnet den Code of Federal Regulations (Sammlung der Bundesverordnungen der USA).
   4. „Betroffene Einrichtung“ wird entsprechend der Definition im HIPAA definiert.
   5. „Betroffene Dienste“ bezeichnet die Dienste, die in der Vereinbarung ausdrücklich genannt werden und unter diesen BAA fallen.
   6. „HHS“ bezeichnet das US-Ministerium für Gesundheit und Soziale Dienste.
   7. „HIPAA“ hat die im Abschnitt Hintergrund oben aufgeführte Bedeutung.
   8. „HITECH Act“ bezeichnet den Health Information Technology for Economic and Clinical Health Act, der im Rahmen des American Recovery and Reinvestment Act von 2009, Public Law 111-005, in Kraft getreten ist.
   9. „Einzelperson“ hat die gleiche Bedeutung wie der Begriff in 45 CHF, Paragrafen 164.501 und 160.130 und bezeichnet auch eine Person, die als persönlicher Vertreter gemäß 45 CFR, Paragraf 164.502(g) agieren kann.
   10. „Unerlaubte Nutzung oder Weitergabe“ wird entsprechend der Definition im HIPAA definiert.
   11. „Privacy Rule“ (Datenschutzregel) bezeichnet den Abschnitt des HIPAA, der in 45 CFR Part 160 und Part 164, Subparts A und E aufgeführt wird.
   12. „Geschützte Gesundheitsdaten“ haben die Bedeutung des Begriffes „geschützte Gesundheitsdaten“ in 45 CFR, Paragrafen 164.501 und 160.103, beschränkt auf die Daten, die Seagate für das Unternehmen erstellt oder vom Unternehmen erhält.
   13. „Gesetzlich vorgeschrieben“ hat die im HIPAA festgelegte Bedeutung.
   14. „Sicherheitsvorfall“ hat die im HIPAA in 45 CFR, Paragraf 164.304 festgelegte Bedeutung, wenn sich diese Bezeichnung auf versuchte oder erfolgreiche unerlaubte Zugriffe, Nutzung, Weitergabe, Änderungen oder Zerstörung von Daten oder eine Beeinträchtigung der Systembetriebe in einem Informationssystem bezieht.
   15. „Sicherheitsregel“ bezeichnet die Sicherheitsstandards zum Schutz elektronischer Gesundheitsdaten in 45 CFR Part 160 und Part 164, Subparts A und C.
   16. „Ungesicherte geschützte Gesundheitsdaten“ bezeichnet geschützte Gesundheitsdaten, die nicht durch eine Technologie oder Methode, die vom HHS Secretary im Ratgeber zum HITECH Act und im 42 USC, Paragraf 17932(h) festgelegt wurde, für unautorisierte Einzelpersonen unbrauchbar, unlesbar oder unentzifferbar gemacht wurden.
   17. „Erfolglose Sicherheitsvorfälle“ bezeichnen unter anderem Pings oder andere Broadcast-Angriffe auf Seagates Firewalls, Portscans, erfolglose Anmeldeversuche, Denial-of-Service-Angriffe sowie jede andere Kombination oder Variante der oben aufgeführten Ereignisse, solange diese Vorfälle nicht zu einem unerlaubten Zugriff, einer unerlaubten Nutzung, Weitergabe, Änderung oder Zerstörung der geschützten Gesundheitsdaten führen.
2. Nutzung und Weitergabe von geschützten Gesundheitsdaten.
   1. Sofern nicht anderweitig in diesem BAA festgelegt, kann Seagate auf geschützte Gesundheitsdaten zugreifen, diese nutzen, weitergeben, ändern oder zerstören, wenn dies vernünftigerweise erforderlich ist, um die in der Vereinbarung mit dem Unternehmen aufgeführten Services zu erbringen und andere Aktivitäten von Seagate durchzuführen, die Seagate im Rahmen der Vereinbarung, dieses BAA oder durch anderweitige gesetzliche Vorschriften erbringen kann oder muss.
   2. Sofern nicht anderweitig durch diesen BAA, bundesstaatliche oder staatliche Gesetze eingeschränkt, autorisiert das Unternehmen Seagate, die geschützten Gesundheitsdaten in seinem Besitz ordnungsgemäß zu handhaben und zur Verwaltung von Seagates Geschäftstätigkeit und zur Erfüllung seiner rechtlichen Pflichten zu nutzen. Seagate kann geschützte Gesundheitsdaten ordnungsgemäß handhaben und zur eigenen Verwaltung weitergeben, vorausgesetzt, (i) die Weitergabe ist gesetzlich vorgeschrieben oder (ii) Seagate erhält vor der Weitergabe an eine Drittpartei schriftlich zureichende Versicherungen von dieser Drittpartei, dass die geschützten Gesundheitsdaten gemäß diesem BAA vertraulich behandelt werden und nur genutzt oder weitergegeben werden, wenn dies gesetzlich vorgeschrieben ist oder für den Zweck erfolgt, zu dem die Drittpartei diese Daten erhalten hat.
   3. Seagate wird geschützte Gesundheitsdaten nur auf die in diesem BAA, in der Privacy Rule oder der gesetzlich vorgegebenen Weise nutzen oder weitergeben. Seagate kann geschützte Gesundheitsdaten, soweit dies praktikabel ist, als begrenzten Satz von Daten nutzen oder weitergeben, der auf die vernünftigerweise notwendige Menge an geschützten Gesundheitsdaten beschränkt ist, die für die beabsichtigten Nutzungs- oder Weitergabezwecke erforderlich sind; dies hat gemäß den Vorgaben des HIPAA, inklusive Abschnitt 13405(b) des HITECH Act (festgelegt unter 42 USC, Paragraf 17935(b)) und allen Durchführungsverordnungen des Acts, die vom HHS angenommen wurden, für jede Nutzung oder Weitergabe der geschützten Gesundheitsdaten zu erfolgen.
   4. Auf Aufforderung wird Seagate dem Unternehmen alle geschützten Gesundheitsdaten des Unternehmens bereitstellen, die Seagate oder seine Vertreter oder Unterauftragnehmer gemäß den Vorgaben in diesem BAA in ihrem Besitz haben.
   5. Seagate kann geschützte Gesundheitsdaten verwenden, um gemäß 45 CFR, Paragraf 164.502(f)(1) Rechtsverstöße an die zuständigen bundesstaatlichen und staatlichen US-Behörden zu melden.
3. Maßnahmen zum Schutz vor Missbrauch von geschützten Gesundheitsdaten. Wie aufgrund der Art der Dienste angemessen, wird Seagate für geeignete Sicherheitsmaßnahmen sorgen, die die Nutzung oder Weitergabe geschützter Gesundheitsdaten verhindern, und Seagate stimmt zu, administrative, physische und technische Sicherheitsmaßnahmen zu ergreifen, die die Vertraulichkeit, Integrität und Verfügbarkeit elektronischer geschützter Gesundheitsdaten, die Seagate für das Unternehmen erstellt, pflegt oder überträgt, sinnvoll und angemessen schützen. Seagate stimmt zu, angemessene Schritte zu ergreifen, darunter auch Schulungen für seine Mitarbeiter, um diesen BAA einzuhalten; diese Schritte sollen auch Maßnahmen umfassen, um Handlungen oder Unterlassungen seiner Mitarbeiter oder Vertreter zu verhindern, durch die Seagate gegen die Bedingungen dieses BAA verstoßen würde.
4. Verschlüsselung. Aufgrund der Verschlüsselungskonfiguration und Sicherheitskontrollen der Dienste hat Seagate keinen Zugriff auf geschützte Gesundheitsdaten innerhalb der verschlüsselten Dateien und Ordner des Unternehmens, die in den Diensten gespeichert sind, und hat keine Kenntnisse über die Art der Daten. Daher ist es den Parteien bewusst, dass es Seagate eventuell nicht möglich ist, dem Unternehmen alle relevanten Daten zu den geschützten Gesundheitsdaten von Einzelpersonen bereitzustellen, die von einem Sicherheitsvorfall, einer unerlaubten Nutzung oder Weitergabe oder einem Verstoß gegen ungesicherte geschützte Gesundheitsdaten betroffen sein können.
5. Meldung von Weitergaben von geschützten Gesundheitsdaten und Sicherheitsvorfällen. Seagate wird das Unternehmen schriftlich (inklusive per E-Mail) über jede Nutzung oder Weitergabe geschützter Gesundheitsdaten, von der es Kenntnis erhält und die nicht durch diesen BAA oder die Vereinbarung abgedeckt ist, informieren, und Seagate stimmt zu, dem Unternehmen jeden Sicherheitsvorfall zu melden, der tatsächlich elektronische geschützte Gesundheitsdaten des Unternehmens betrifft und von dem es Kenntnis erhält. Seagate stimmt zu, jedes derartige Ereignis innerhalb von fünf Geschäftstagen nach Bestätigung des Ereignisses zu melden. Ungeachtet des oben Genannten bestätigen die Parteien und stimmen zu, dass dieser Abschnitt 5 die Mitteilung von Seagate an das Unternehmen über das aktuelle Vorhandensein und Ereignis von erfolglosen Sicherheitsvorfällen darstellt, für die keine weiteren Mitteilungen an das Unternehmen erforderlich sind. Hiermit bestätigt das Unternehmen und stimmt zu, dass die Mitteilung für alle erfolglosen Sicherheitsvorfälle hiermit erfolgt ist und dass Seagate nicht verpflichtet ist, gemäß diesem BAA weitere Mitteilungen zu derartigen erfolglosen Sicherheitsvorfällen bereitzustellen.
6. Meldungen von Verstößen bei ungesicherten geschützten Gesundheitsdaten. Seagate wird das Unternehmen bei Feststellung eines Verstoßes hinsichtlich ungesicherter geschützter Gesundheitsdaten gemäß den Vorgaben in 45 CFR, Paragraf 164.410 sofort schriftlich (inklusive per E-Mail) informieren, jedoch nicht später als 30 Kalendertage nach Feststellung eines solchen Verstoßes. Soweit dies möglich ist, müssen derartige Informationen die Identifizierung jeder einzelnen Person enthalten, auf deren geschützte Gesundheitsdaten auf unangemessene Weise zugegriffen, deren Daten erworben oder weitergegeben wurden oder von denen Seagate dies vernünftigerweise annehmen kann; dies hat gemäß Abschnitt 5 oben sofort zu erfolgen.
7. Meldepflichten. Angesichts Abschnitt 4 oben und im Fall eines Verstoßes hinsichtlich ungesicherter geschützter Gesundheitsdaten, einem Sicherheitsvorfall oder einer unerlaubten Nutzung oder Weitergabe ist das Unternehmen allein dafür verantwortlich, betroffene Einzelpersonen (falls vorhanden) zu identifizieren, zu entscheiden, ob diese betroffenen Einzelpersonen benachrichtigt werden, zu entscheiden, ob Behörden wie das US-Ministerium für Gesundheit und Soziale Dienste oder ein anderes Vollstreckungsorgan, unter das das Unternehmen fällt, benachrichtigt werden muss, außerdem muss das Unternehmen diese Benachrichtigungen vornehmen.
8. Risikominderung bei Weitergaben geschützter Gesundheitsdaten. Seagate wird angemessene Maßnahmen ergreifen, um im praktikablen Maße potenzielle Risiken aus der Nutzung oder Weitergabe von geschützten Gesundheitsdaten durch Seagate oder seiner Vertreter oder Unterauftragnehmer, die gegen die Vorgaben dieses BAA verstoßen und die wahrscheinlich zu schädlichen Vorfällen führen und die Seagate bekannt sind, zu mindern.
9. Vereinbarungen mit Vertretern oder Unterauftragnehmern. Seagate wird angemessene Maßnahmen ergreifen um sicherzustellen, dass Vertreter oder Unterauftragnehmer, die von Seagate zur Durchführung seiner Pflichten aus dieser Vereinbarung beauftragt wurden und die Zugriff auf geschützte Gesundheitsdaten benötigen, durch schriftliche Verpflichtungen gebunden sind, die im Wesentlichen das gleiche Schutzmaß für geschützte Gesundheitsdaten bieten wie dieser BAA. Soweit Seagate Vertreter oder Unterauftragnehmer zur Erfüllung der hierin enthaltenen Verpflichtungen nutzt, ist Seagate für deren Leistungserbringung so verantwortlich, als würde Seagate diese Pflichten erfüllen.
10. Prüfbericht. Soweit gesetzlich zulässig und vorbehaltlich aller anwendbaren gesetzlichen Privilegien muss Seagate auf schriftliche Aufforderung seine internen Vorgehensweisen, Vereinbarungen, Aufzeichnungen sowie Richtlinien und Verfahren zur Nutzung und Weitergabe von geschützten Gesundheitsdaten dem US-Ministerium für Gesundheit und Soziale Dienste (nachfolgend das „Ministerium“) zur Verfügung stellen, damit das Ministerium die Einhaltung des HIPAA und dieses BAA durch das Unternehmen und Seagate prüfen kann.
11. Dokumentation der Weitergabe.
    1. Seagate wird jegliche Weitergabe geschützter Gesundheitsdaten, wie in 45 CFR, Paragraf 164.528(a) vorgeschrieben, dokumentieren. Seagate wird Informationen zu solchen Weitergaben außerdem verfügbar machen, wenn das Unternehmen auf eine Anfrage zu Dokumentation von Weitergaben gemäß 45 CFR, Paragraf 164.528 reagieren muss. Seagate wird dem Unternehmen mindestens das Folgende zu betroffenen Weitergaben durch Seagate bereitstellen: (i) das Datum der Weitergabe der geschützten Gesundheitsinformationen, (ii) den Namen des Unternehmens oder der Person, die geschützte Gesundheitsdaten erhalten haben und, wenn bekannt, die Adresse dieses Unternehmens oder dieser Person, (iii) eine kurze Beschreibung der weitergegebenen geschützten Gesundheitsdaten und (iv) eine kurze Stellungnahme zum Zweck der Weitergabe, in der die Grundlage für diese Weitergabe aufgeführt ist.
    2. Seagate wird dem Unternehmen gemäß diesem Abschnitt 11 gesammelte Informationen innerhalb von fünfzehn Geschäftstagen nach schriftlicher Aufforderung durch das Unternehmen bereitstellen, damit das Unternehmen die Dokumentation einer Weitergabe gemäß 45 CFR, Paragraf 164.528 durchführen kann; falls das Unternehmen einer Einzelperson eine Liste seiner Geschäftspartner bereitstellen möchte, wird Seagate eine Dokumentation seiner Weitergabe von geschützten Gesundheitsdaten auf Anfrage der Einzelperson bereitstellen, falls diese Dokumentation gemäß HITEC Act oder durch Vorschriften des US-Gesundheitsministeriums, die in Zusammenhang mit dem HITECH Act festgelegt wurden, erforderlich ist.
    3. Falls eine Einzelperson die ursprüngliche schriftliche Aufforderung zur Dokumentation der geschützten Gesundheitsdaten dieser Einzelperson, die von Seagate gespeichert werden, direkt bei Seagate vorbringt, wird Seagate diese Anfrage innerhalb von zehn Geschäftstagen an das Unternehmen weiterleiten.
12. Pflichten des Unternehmens. Hinsichtlich der Nutzung oder Weitergabe geschützter Gesundheitsdaten durch Seagate stimmt das Unternehmen Folgendem zu:
    1. Es wird keine Einschränkungen in seinen Hinweis zu seinen Datenschutzpraktiken aufnehmen, die Seagates erlaubte oder erforderliche Nutzung oder Weitergabe von geschützten Gesundheitsdaten gemäß diesem BAA einschränken, außer diese Einschränkung ist durch geltendes Recht erforderlich. Falls das Unternehmen gesetzlich verpflichtet ist, diese Einschränkung in seinen Datenschutzhinweisen aufzunehmen, wird das Unternehmen Seagate sofort über diese Einschränkungen informieren, soweit diese Einschränkung Seagates Nutzung oder Weitergabe geschützter Gesundheitsdaten beeinträchtigen kann.
    2. Seagate ist über alle Änderungen an, Widerrufe von oder Erlaubnisse einer Einzelperson zur Nutzung oder Weitergabe geschützter Gesundheitsdaten zu informieren, soweit diese Änderungen Seagates Nutzung oder Weitergabe geschützter Gesundheitsdaten betreffen könnte.
    3. Das Unternehmen stimmt keinen Anfragen zu Einschränkungen zu, die Seagates erlaubte oder erforderliche Nutzung oder Weitergabe von geschützten Gesundheitsdaten gemäß diesem BAA oder der Bereitstellung von Diensten einschränkten würde, es sei denn, dies ist gesetzlich vorgeschrieben. Falls das Unternehmen gesetzlich verpflichtet ist, einer solchen Einschränkung zuzustimmen, wird das Unternehmen Seagate sofort über eine derartige Einschränkung informieren.
    4. Das Unternehmen wird von Seagate nicht verlangen oder Seagate dazu bringen, geschützte Gesundheitsdaten auf eine Weise zu nutzen oder weiterzugeben, die gemäß dem HIPAA nicht erlaubt wäre, wenn das Unternehmen dies tun würde, oder die auf eine andere Weise nicht mit den Diensten übereinstimmen.
    5. Das Unternehmen wird angemessen Datenschutz- und Sicherheitsmaßnahmen implementieren und nutzen, die die unautorisierte Nutzung oder Weitergabe geschützter Gesundheitsdaten verhindern sollen, und administrative, physische und technische Schutzmaßnahmen implementieren und nutzen, um geschützte Gesundheitsdaten gemäß HIPAA und diesem BAA sowie anderweitig gemäß der Sicherheitsregel sinnvoll und angemessen zu schützen. Das Unternehmen wird insbesondere alle in den Services gespeicherten oder über die Dienste übertragenen geschützten Gesundheitsdaten verschlüsseln und zwar gemäß den Vorgaben des „Guidance to Render Unsecured Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals“ des US-Gesundheitsministeriums, das online unter https://www.hhs.gov/hipaa/for-professionals/breach-notification/guidance/index.html verfügbar ist, von Zeit zu Zeit aktualisiert wird und das über jede Nachfolge- oder ähnliche Website, die vom US-Gesundheitsministerium dafür genutzt wird, bereitgestellt werden kann. In dem Umfang, in dem das Unternehmen die Dienste zur Übertragung geschützter Gesundheitsdaten ohne Verschlüsselung nutzen möchte, ist es dafür verantwortlich, gemäß der Sicherheitsregel zu dokumentieren, dass die Verschlüsselung für eine derartige Kommunikation nicht sinnvoll und angemessen ist, außerdem muss es geeignete Alternativmaßnahmen implementieren, wenn dies sinnvoll und angemessen ist. Das Unternehmen bestätigt und stimmt zu, dass Seagate gemäß diesem BAA keine Verpflichtung zum Schutz der geschützten Gesundheitsdaten hat, wenn das Unternehmen geschützte Gesundheitsdaten außerhalb der Dienste erstellt, erhält, pflegt oder überträgt.
    6. Das Unternehmen sichert zu, für jede Bereitstellung von geschützten Gesundheitsdaten, die es erhält, alle erforderlichen Autorisierungen, Einverständniserklärungen und andere Genehmigungen einzuholen, die laut geltendem Gesetz erforderlich sein können, bevor es im Zusammenhang mit den Diensten Daten veröffentlicht oder hochlädt, darunter unter anderem geschützte Gesundheitsdaten.
13. Dateneigner. Dieser BAA hat keinerlei Auswirkungen auf die Vorgaben zum Dateneigentum, denen im Rahmen dieser Vereinbarung zugestimmt wurde.
14. Laufzeit und Beendigung.
    1. Dieser BAA endet entweder (i) mit einer erlaubten Beendigung gemäß diesem Abschnitt 14 oder (ii) beim Auslaufen oder mit der Beendigung der Vereinbarung, über die das Unternehmen Zugriff auf die Dienste hat, je nachdem, welcher Fall früher eintritt.
    2. Das Unternehmen kann diesen BAA sofort beenden, wenn festgestellt wird, dass Seagate gegen eine wesentliche Bedingung dieses BAA verstößt und Seagate diesen Verstoß nicht innerhalb von 30 Tagen nach schriftlicher Aufforderung seitens des Unternehmens zur angemessenen Zufriedenheit des Unternehmens ausräumt. Das Unternehmen kann das Problem vorbehaltlich aller anwendbaren gesetzlichen Privilegien an das US-Gesundheitsministerium weiterleiten, wenn dies gesetzlich erforderlich ist.
    3. Gemäß dem Abschnitt der Vereinbarung zu Aussetzungen wird Seagate, wenn Seagate feststellt, dass das Unternehmen gegen eine wesentliche Bedingung dieses BAA verstoßen hat, diesem eine schriftliche Mitteilung über diesen Verstoß zukommen lassen und dem Unternehmen 30 Tage Zeit geben, diesen Verstoß zu beheben. Wenn das Unternehmen den Verstoß nicht innerhalb dieser 30-Tage-Frist behebt, kann die Vereinbarung oder dieser BAA von Seagate umgehend beendet werden. Seagate kann Verstöße vorbehaltlich aller anwendbaren gesetzlichen Privilegien an das US-Gesundheitsministerium melden.
    4. Nach Beendigung der Vereinbarung oder dieses BAA aus jedwedem Grund werden alle geschützten Gesundheitsdaten, die Seagate aufbewahrt, gemäß den Bedingungen zu Unternehmensdaten in der Vereinbarung von Seagate aus den Diensten gelöscht. Seagate wird die Schutzmaßnahmen dieses BAA für derartige geschützte Gesundheitsdaten verlängern und die künftige Nutzung und Weitergabe dieser geschützten Gesundheitsdaten auf die Zwecke beschränkten, die eine Rückgabe oder Zerstörung unmöglich machen, so lange diese geschützten Gesundheitsdaten von Seagate gepflegt werden. Den Parteien ist bewusst, dass dieser Abschnitt 14.4. auch nach Beendigung dieses BAA weiterhin Gültigkeit besitzt.
15. Wirksamkeit des BAA. Dieser BAA ist Teil der Vereinbarung und unterliegt deren Bedingungen. Dieser BAA, zusammen mit der Vereinbarung, wie sie durch diesen BAA abgeändert wird, (i) ist als endgültiger, vollständiger und exklusiver Ausdruck der Bedingungen der Vereinbarung der Parteien zu verstehen und (iii) ersetzt alle vorherigen Vereinbarungen und Absprachen (ob mündlich oder schriftlich) zwischen den Parteien in Bezug auf den Gegenstand der Vereinbarung. Die Bestimmungen dieses BAA setzen alle anders lautenden Bestimmungen der Vereinbarung aus und kontrollieren diese; jedoch sind die Bedingungen der Vereinbarung mit Ausnahme der in diesem BAA ausdrücklich geänderten oder angepassten Bedingungen für geschützte Gesundheitsdaten weiterhin rechtsverbindlich.
16. Änderungen zur Einhaltung von Gesetzen. Den Parteien ist bewusst, dass sich Gesetze der Bundesstaaten und des Staates der USA zu Datensicherheit und zum Schutz von Gesundheitsdaten schnell weiterentwickeln und dass eine Änderung dieses BAA erforderlich sein kann, um diesen Entwicklungen Rechnung zu tragen. Die Parteien stimmen insbesondere zu, erforderliche Maßnahmen zu ergreifen, um HIPAA-Standards und -Anforderungen zu erfüllen. Auf Anfrage einer Partei stimmt die andere Partei sofort zu, Verhandlungen zu den Bedingungen einer Änderung an diesem BAA mit schriftlichen Zusicherungen aufzunehmen, die den Standards und Anforderungen von HIPAA oder anderen geltenden Gesetzen entsprechen. Jede Partei kann diesen BAA nach schriftlichem Hinweis dreißig (30) Tage im Voraus kündigen, wenn die andere Partei: (i) keine sofortigen Verhandlungen zu Änderungen an diesem BAA nach Aufforderung gemäß diesem Abschnitt 16 aufnimmt oder (ii) keine Änderung an diesem BAA zu Sicherungsmaßnahmen aufnimmt, die die geschützten Gesundheitsdaten gemäß den Standards und Vorgaben des HIPAA ausreichend schützen.
17. Auslegung. Dieser BAA und die Vereinbarung sind so weit wie notwendig auszulegen, eine Umsetzung und Einhaltung von HIPAA zu ermöglichen. Die Parteien stimmen zu, dass jede Unklarheit in diesem BAA so zu lösen ist, dass die Bedeutung mit den HIPAA-Vorgaben übereinstimmt und diesen entspricht.

10. Dezember 2024