Databehandleraftale

Databehandleraftale (DBA) i henhold til artikel 28 i GDPR

Stand: 20.03.2026

Mellem

den registrerede kunde hos Biscotti CMP – herefter benævnt „den dataansvarlige“ eller „kunden“ –

og

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Forbundsrepublikken Tyskland

Registreringsdomstol: Amtsgericht Potsdam Registreringsnummer: HRB 40180 P Momsnummer: DE368000447 Skatteregistreringsnummer: 29/249/36095 Repræsenteret af: Daniel Bosch (CEO), Philipp André Marschall (prokurist) E-mail: [email protected] Telefon: +49 3322 50703301 Åbningstider: Man-fre, kl. 09:00 - 17:00 – herefter benævnt "databehandler" eller "udbyder" –

– den dataansvarlige og databehandleren benævnes herefter samlet også "parterne" –

Præambel

Hjertelig velkommen til Campcruisers GmbH! Vi glæder os meget over at kunne byde Dem velkommen som kunde. Gennemsigtighed, de højeste sikkerhedsstandarder og et partnerskabsbaseret samarbejde på lige fod er vores højeste prioritet. Beskyttelsen af Deres data og dataene fra Deres webstedsbesøgende er for os ikke kun en lovmæssig forpligtelse, men et centralt kvalitetsløfte fra vores virksomhed.

Den dataansvarlige bruger den cloudbaserede Software-as-a-Service (SaaS)-løsning "Biscotti CMP" (Consent Management Platform), som er udviklet, drevet og distribueret af databehandleren. I forbindelse med leveringen af disse SaaS-tjenester, der stilles til rådighed under domænet biscotti-cmp.com samt applikationen app.biscotti-cmp.com, behandler databehandleren personoplysninger på vegne af og efter instruks fra den dataansvarlige. Denne aftale konkretiserer parternes forpligtelser i henhold til databeskyttelseslovgivningen, som følger af brugen af Biscotti CMP. Den finder anvendelse på alle aktiviteter, der er forbundet med hovedaftalen (brugeraftale om SaaS-tjenesterne), og hvor databehandlerens medarbejdere eller tredjeparter, der er udpeget af denne, kan komme i kontakt med den dataansvarliges personoplysninger.

Denne aftale er absolut nødvendig for at opfylde kravene i forordning (EU) 2016/679 (databeskyttelsesforordningen – GDPR), især artikel 28 i GDPR, samt de supplerende bestemmelser i den tyske databeskyttelseslov (BDSG) og loven om databeskyttelse inden for telekommunikation og digitale tjenester (TDDDG).

[!NOTE] Indgåelse af aftale i elektronisk handel Denne aftale indgås i elektronisk format i henhold til artikel 28, stk. 9, i GDPR. Ved tilmelding/registrering hos den dataansvarlige udgør den en integreret del af Biscotti CMP's generelle forretningsbetingelser (AGB). Kontraktindgåelsen sker ved udtrykkelig elektronisk samtykke i forbindelse med registreringen (f.eks. ved at klikke på en bekræftelsesknap) og kræver ingen særskilt, håndskrevet underskrift for at være gyldig og retskraftig.

§ 1 Formål og varighed af behandlingen

1.1 Formålet med behandlingen Databehandleren leverer tjenester til den dataansvarlige inden for samtykkestyring (Consent Management) og automatisering af overholdelse af databeskyttelseslovgivningen. Formålet med behandlingen af personoplysninger fremgår af den hovedkontrakt, der er indgået mellem parterne om brugen af Biscotti CMP. Behandlingen omfatter alle datarelaterede processer, der er nødvendige for at levere de kontraktmæssigt aftalte softwarefunktioner. Dette omfatter især, men ikke udelukkende:

• Tilvejebringelse og levering af samtykkebannere (cookie-bannere) på den dataansvarliges websteder.
• Indsamling, lagring, administration og dokumentation af samtykkeafgørelser (samtykke/afslag) fra den dataansvarliges slutbrugere (webstedsbesøgende) i henhold til artikel 7, stk. 1, i GDPR og § 25, stk. 1, i TDDDG.
• Gennemførelse af AI-baserede cookie-scanninger på den dataansvarliges websteder med henblik på identifikation og kategorisering af sporingsteknologier og sammenligning heraf med IAB-udbyderdatabasen.
• Behandling af signaler inden for rammerne af Google Consent Mode v2, IAB Transparency & Consent Framework (TCF 2.4) samt Global Privacy Control (GPC).
• IP-baseret fastlæggelse af webstedsbesøgerens jurisdiktion med henblik på dynamisk visning af lovmæssige bannervarianter (f.eks. GDPR, CCPA/CPRA).
• AI-baseret generering af juridiske tekster (impressum, privatlivspolitik, cookiepolitik) via den integrerede Legal Suite-assistent ved hjælp af Alibaba Cloud Qwen.
• Tilvejebringelse af revisionslogfiler (audit-logs), webhooks til realtidsnotifikation, A/B-testfunktioner samt dataeksportfunktioner til opfyldelse af de registreredes rettigheder i henhold til artikel 15 i GDPR.
• Administration af agentur-underkonti inden for rammerne af "Agency"-taksten, herunder klientadministration og white label-branding.

1.2 Behandlingsvarighed Varigheden af denne databehandleraftale afhænger af varigheden af den underliggende hovedkontrakt om brugen af Biscotti CMP. Aftalen træder i kraft ved registrering af den dataansvarlige og aktivering af kontoen (ved gratis abonnementer) eller ved betalingsbekræftelse (ved betalingsabonnementer som Starter, Growth, Business, Agency). Den ophører automatisk ved ophør af hovedkontrakten, uanset retsgrundlag (f.eks. ved ordinær opsigelse, ekstraordinær opsigelse eller sletning af kontoen). Opsigelsesfristen for hovedkontrakten er 1 dag inden udløbet af den pågældende afregningsperiode. Bestemmelser i denne kontrakt, der i kraft af deres karakter skal gælde ud over opsigelsen (især bestemmelser om sletning og tilbagelevering af data samt ansvarsforhold), berøres ikke af opsigelsen.

§ 2 Art og formål med behandlingen

2.1 Art af behandlingen Arten af behandlingen omfatter indsamling, registrering, organisering, ordning, opbevaring, tilpasning eller ændring, udlæsning, søgning, anvendelse, videregivelse ved overførsel, formidling eller anden form for tilgængeliggørelse, sammenligning eller sammenkædning, begrænsning, sletning eller destruktion af data. Behandlingen foregår primært automatiseret i databehandlerens cloud-infrastruktur (f.eks. hostet på Hetzner Online GmbH, hvor serverne typisk er placeret i Den Europæiske Union).

2.2 Formålet med behandlingen Formålet med behandlingen er udelukkende at opfylde de kontraktmæssige forpligtelser i henhold til hovedkontrakten. Dette omfatter:

• Dokumentation af samtykke: Opbevaring af samtykkedata til opfyldelse af den dataansvarliges redegørelsespligt i henhold til artikel 5, stk. 2, sammenholdt med artikel 7, stk. 1, i GDPR.
• Teknisk tilvejebringelse: Visning af samtykkebanneret og sikring af funktionaliteten på den dataansvarliges hjemmeside under hensyntagen til brugerpræferencer.
• Compliance-analyse: Automatiseret kontrol af den dataansvarliges websteder for risici i relation til databeskyttelse (cookie-scanner).
• Udarbejdelse af juridiske tekster: Behandling af den dataansvarliges virksomheds- og kontaktoplysninger med henblik på AI-baseret udarbejdelse af skræddersyede juridiske tekster.
• Fakturering og kontoadministration: Administration af brugerkonti, tildeling af sessionsgrænser (f.eks. 5.000 sessioner i Free-abonnementet, 500.000 i Business-abonnementet) og håndtering af sessionsoverførsler.
• Agenturadministration: Muliggørelse af administration af op til 25 underkonti i Agency-abonnementet, herunder tilvejebringelse af forhandlersider og e-mail-udsendelsesfunktioner.

Behandling af data til databehandlerens egne formål, især til egne reklameformål eller til oprettelse af brugerprofiler, der går ud over den kontraktmæssige levering af ydelser, er strengt forbudt, medmindre der foreligger en udtrykkelig lovmæssig tilladelse eller et separat samtykke.

§ 3 Type personoplysninger

I forbindelse med databehandlingen behandles følgende kategorier af personoplysninger. Den dataansvarlige fastlægger selv det nøjagtige omfang af oplysningerne gennem sin brug af Biscotti CMP og konfigurationen af softwaren:

• Samtykkedata: Beslutninger (samtykke/afslag for forskellige kategorier såsom væsentlige, funktionelle, analyse, marketing, AI-tjenester), tidsstempel (dato og nøjagtigt klokkeslæt for samtykket), entydigt identifikationsnummer (til pseudonym tilknytning af beslutningen til den respektive enhed/browser).
• Tekniske data: IP-adresser (behandles primært til lokationsbaseret genkendelse af jurisdiktion og anonymiseres/trunkeres som regel straks, medmindre den dataansvarlige har valgt en anden konfiguration), browseroplysninger, enhedsoplysninger, user-agent-strings, sessionsdata.
• Cookie- og trackerdata: Scanningsresultater fra den dataansvarliges websteder, herunder fundne cookies, lokalt lagret indhold, tredjeparts-trackere og deres klassificering.
• AI-genereret indhold: Data, som den dataansvarlige indtaster i Legal Suite-assistenten for at generere juridiske tekster (privatlivspolitik, impressum, almindelige forretningsbetingelser). Dette kan omfatte virksomhedsdata, navne på repræsentanter, adresser og specifikke behandlingsaktiviteter, der behandles via Alibaba Cloud Model Studio (Qwen) API.
• Kontaktoplysninger (kontoindehaver): For- og efternavn, e-mailadresse, virksomhedsnavn, adresse, telefonnummer, momsnummer (moms-id-nr.) for kunder eller kontoindehavere.
• Brugsdata: Dashboard-aktiviteter, bannerstatistikker (visninger, interaktioner, acceptprocenter), compliance-rapporter, kontrolprotokoller vedrørende kontoændringer.
• Betalingsdata: Afregningsoplysninger, der behandles via betalingstjenesteudbyderen Stripe (hvor kreditkortoplysninger tokeniseres direkte hos Stripe og ikke gemmes i klartekst hos databehandleren).

§ 4 Kategorier af registrerede

Behandlingen vedrører følgende kategorier af registrerede:

• Webstedsbesøgende (slutbrugere): Fysiske personer, der besøger den dataansvarliges websteder, og hvis samtykkeafgørelser via Biscotti CMP-banneret indhentes, behandles og gemmes.
• Kunder (kontoindehavere): Fysiske personer, enkeltmandsvirksomheder eller repræsentanter for juridiske personer, der som databehandlerens kontraktpartner har oprettet en konto hos Biscotti CMP.
• Teammedlemmer og medarbejdere: Personer, der er blevet inviteret af kontoindehaveren (den dataansvarlige) som yderligere brugere til Biscotti CMP-dashboardet for at administrere systemet.
• Agenturkunder (underkontoindehavere): Slutkunder hos agenturer, der benytter "Agency"-taksten, og for hvem der er oprettet underkonti.

§ 5 Den dataansvarliges forpligtelser og rettigheder

5.1 Lovligheden af behandlingen Den dataansvarlige er alene ansvarlig for at vurdere lovligheden af den bestilte behandling samt for at sikre de registreredes rettigheder (art. 4, nr. 7 i GDPR). Den dataansvarlige sikrer, at der foreligger et gyldigt retsgrundlag (f.eks. samtykke i henhold til artikel 6, stk. 1, litra a, i GDPR eller berettiget interesse i henhold til artikel 6, stk. 1, litra f, i GDPR) for databehandlerens behandling af personoplysningerne. Dette gælder især for brugen af Biscotti CMP til indhentning af samtykke i henhold til § 25, stk. 1, i TDDDG.

5.2 Oplysningspligter Den dataansvarlige er fuldt ud ansvarlig for at informere de registrerede (især besøgende på hjemmesiden) om databehandlingen på en transparent, præcis og rettidig måde i overensstemmelse med artikel 13 og artikel 14 i GDPR. Databehandleren stiller til denne formål de nødvendige tekniske oplysninger om Biscotti CMP's funktionsmåde samt eksempler på tekster via Legal Suite-assistenten til rådighed for den dataansvarlige. Den juridiske gennemgang og integration af databeskyttelseserklæringen påhviler den dataansvarlige.

5.3 Brug af agentur og forhandler Hvis den dataansvarlige bruger "Agency"-taksten og opretter underkonti til sine egne kunder, forbliver den dataansvarlige den eneste kontraktpartner i forhold til databehandleren og den dataansvarlige i henhold til databeskyttelseslovgivningen. Den dataansvarlige garanterer, at han har de nødvendige kontraktmæssige aftaler (herunder egne databehandleraftaler) med sine slutkunder. Hvis den dataansvarlige opretter en forhandlerside eller bruger egne e-mail-servere under eget domæne, bærer han det fulde ansvar i henhold til databeskyttelses- og konkurrencelovgivningen for denne infrastruktur. Databehandleren påtager sig intet ansvar herfor.

5.4 Indberetning af fejl Den dataansvarlige skal straks og fuldstændigt informere databehandleren, hvis han ved gennemgangen af opgavens resultater konstaterer fejl eller uregelmæssigheder i forhold til databeskyttelsesbestemmelserne.

§ 6 Den dataansvarliges ret til at give instrukser

6.1 Art og omfang af instrukserne Databehandleren behandler personoplysninger udelukkende på grundlag af dokumenterede instrukser fra den dataansvarlige, medmindre han er forpligtet hertil i henhold til EU-retten eller medlemsstaternes lovgivning, som han er underlagt (art. 28, stk. 3, litra a, i GDPR). I et sådant tilfælde underretter databehandleren den dataansvarlige om dette lovkrav inden behandlingen, medmindre den pågældende lovgivning forbyder en sådan underretning af hensyn til et væsentligt offentligt interesse.

Hovedkontrakten samt disse AVV udgør den indledende dokumenterede instruks. Den dataansvarliges brug af funktionerne i Biscotti CMP (f.eks. konfiguration af banneret, start af en scanning, generering af tekster) i dashboardet betragtes som en dokumenteret enkeltinstruks.

6.2 Instruksernes form Instrukser kan som regel gives via softwarens (applikationens) brugergrænseflade. Yderligere instrukser skal gives i tekstform (f.eks. via e-mail til [email protected]). Mundtlige instrukser skal straks bekræftes af den dataansvarlige i tekstform.

6.3 Indvendinger mod instrukser Databehandleren underretter straks den dataansvarlige, hvis han mener, at en instruks strider mod GDPR, BDSG eller andre databeskyttelsesbestemmelser i Unionen eller medlemsstaterne. Databehandleren har ret til at suspendere gennemførelsen af den pågældende instruks, indtil den er bekræftet eller ændret af den dataansvarlige. Databehandleren må afvise instrukser, der åbenbart er ulovlige.

§ 7 Fortrolighedsforpligtelse

7.1 Medarbejdernes forpligtelse Databehandleren bekræfter, at han har pålagt alle personer, der er bemyndiget til at behandle den dataansvarliges personoplysninger (medarbejdere, freelancere, organer), en fortrolighedsforpligtelse inden påbegyndelsen af arbejdet (art. 28, stk. 3, litra b, i GDPR), eller at disse er underlagt en passende lovmæssig tavshedspligt. Denne forpligtelse omfatter også datahemmelighed og består også efter afslutningen af aktiviteten eller ansættelsesforholdet.

7.2 Uddannelse og bevidstgørelse Databehandleren sikrer, at de personer, der er bemyndiget til at behandle data, regelmæssigt bliver instrueret og bevidstgjort om bestemmelserne vedrørende databeskyttelse (GDPR, BDSG) og datasikkerhed. Databehandleren, repræsenteret af ledelsen (Daniel Bosch, Philipp André Marschall), sørger for en virksomhedskultur, der overholder databeskyttelsesbestemmelserne.

7.3 Databeskyttelsesansvarlig Databehandleren har, for så vidt det er lovpligtigt i henhold til § 38, stk. 1, i BDSG eller artikel 37 i GDPR (f.eks. ved som regel mindst 20 personer, der konstant beskæftiger sig med automatiseret behandling), udpeget en kompetent og pålidelig databeskyttelsesansvarlig.

Hvis der ikke er nogen lovmæssig forpligtelse til at udpege en sådan, sikrer databehandleren ikke desto mindre, at forpligtelserne i henhold til databeskyttelseslovgivningen overvåges og overholdes fuldt ud af ledelsen.

§ 8 Tekniske og organisatoriske foranstaltninger (TOM) i henhold til artikel 32 i GDPR

8.1 Princippet om sikker behandling Databehandleren erklærer bindende, at han under hensyntagen til den aktuelle tekniske udvikling, implementeringsomkostningerne samt arten, omfanget, omstændighederne og formålene med behandlingen samt den varierende sandsynlighed for og alvoren af risikoen for fysiske personers rettigheder og frihedsrettigheder har truffet passende tekniske og organisatoriske foranstaltninger (TOM'er) for at sikre et beskyttelsesniveau, der står i rimeligt forhold til risikoen (art. 32 i GDPR). Disse foranstaltninger er baseret på anerkendte IT-sikkerhedsstandarder (som ISO 27001 og SOC 2).

8.2 Konkrete foranstaltninger Databehandleren gennemfører især følgende foranstaltninger og opretholder disse i hele kontraktperioden:

a) Pseudonymisering og kryptering (art. 32, stk. 1, litra a, i GDPR)

• Kryptering under overførsel: Alle dataoverførsler mellem slutbrugeren, den dataansvarlige og Biscotti CMP-infrastrukturen foregår obligatorisk via de nyeste krypteringsprotokoller (TLS 1.2 eller TLS 1.3).
• Kryptering i hvile: Alle databaser og lagringsmedier på Hetzner Online GmbH (serverplacering NL) er krypteret på harddiskniveau (AES-256).
• Pseudonymisering: Samtykkeafgørelser knyttes ikke til rigtige navne, men til et tilfældigt genereret, kryptografisk identifikationsnummer. IP-adresser forkortes/anonymiseres som standard, så snart den placeringsbaserede tildeling er afsluttet.

b) Fortrolighed (adgangs- og adgangskontrol)

• Adgangskontrol: Den fysiske sikkerhed af de anvendte servere sikres af den eksterne infrastrukturudbyder (f.eks. Google Cloud). Datacentrene er underlagt strenge adgangs- og sikkerhedskontroller, der er sædvanlige i branchen. Campcruisers GmbH's egne kontorlokaler er sikret ved hjælp af passende fysiske adgangsbegrænsninger (f.eks. sikkerhedslåse).
• Adgangskontrol: Adgangen til databehandlerens IT-systemer er sikret gennem restriktive adgangskodepolitikker, multifaktor-autentificering (MFA) for relevante administrative adgange samt sessionstimeouts. Systemer som Cloudflare Turnstile anvendes til at beskytte loginforsøg mod botangreb.
• Adgangskontrol: Princippet om minimal tildeling af rettigheder (Role-Based Access Control – RBAC) gælder. Medarbejdere hos databehandleren har kun adgang til de data, der er absolut nødvendige for deres respektive opgaver. Kundedataene for de forskellige takster er logisk adskilt fra hinanden (multiklientfunktion).

c) Integritet (kontrol af videregivelse, indtastning og adskillelse)

• Videregivelseskontrol: Data transporteres ikke på fysiske datamedier. Overførslen sker udelukkende via sikre netværk.
• Indtastningskontrol: Biscotti CMP har en omfattende kontrolprotokol (auditlog). Det kan til enhver tid spores, hvilken bruger (kunde, teammedlem, agentur) der på hvilket tidspunkt har foretaget hvilke ændringer i dashboardet (f.eks. ændring af bannertitler, tilpasning af cookie-kategorier).
• Adskillelseskontrol: Data, der er indsamlet til forskellige formål, behandles adskilt. Produktions-, test- og udviklingsmiljøer er strengt adskilt fra hinanden.

d) Tilgængelighed og robusthed (art. 32, stk. 1, litra b og c i GDPR)

• Tilgængelighed: Databehandleren træffer branchenormale, rimelige foranstaltninger for at sikre systemernes tilgængelighed (hosting på Hetzner Online GmbH). Der garanteres dog ingen eksplicitte SLA-tilgængeligheder, og der findes ingen fuldstændig redundans i infrastrukturen.
• Belastbarhed: Systemarkitekturen er udformet således, at de forventede sessionvolumener som regel behandles pålideligt. Der anvendes dog ikke dedikeret load-balancing eller automatiske skaleringsmekanismer (auto-scaling).
• Gendannelse: Databehandleren træffer passende foranstaltninger (f.eks. regelmæssige sikkerhedskopier af databaser) for at muliggøre gendannelse af data i tilfælde af en teknisk hændelse. Der er dog ingen garanti for tabsløs gendannelse, hvorfor den dataansvarlige opfordres til på eget ansvar at benytte de eksportfunktioner, der står til rådighed.

e) Procedurer for regelmæssig kontrol (art. 32, stk. 1, litra d, i GDPR)

• Databehandleren kontrollerer regelmæssigt internt effektiviteten af de trufne tekniske og organisatoriske foranstaltninger.
• Der findes interne processer til håndtering af sikkerhedshændelser (incident response) for at kunne imødegå potentielle hændelser inden for de lovmæssige rammer.
• TOM'erne er underlagt en løbende forbedringsproces.

8.3 Tilpasning af de tekniske og organisatoriske foranstaltninger De tekniske og organisatoriske foranstaltninger er underlagt den tekniske udvikling og videreudvikling. Databehandleren har ret til at implementere alternative, passende foranstaltninger, forudsat at sikkerhedsniveauet ikke falder under det, der er fastsat i de fastlagte foranstaltninger. Væsentlige ændringer skal meddeles den dataansvarlige skriftligt.

§ 9 Underbehandlere

9.1 Anvendelse af underdatabehandlere Den dataansvarlige giver hermed databehandleren generel skriftlig tilladelse (art. 28, stk. 2, i GDPR) til at inddrage yderligere databehandlere (underdatabehandlere). Databehandleren sikrer, at han omhyggeligt udvælger underdatabehandlere og kontraktligt pålægger disse de samme forpligtelser til beskyttelse af personoplysninger, som er fastlagt i denne aftale (art. 28, stk. 4, i GDPR).

9.2 Aktuelt godkendte underdatabehandlere Ved aftalens indgåelse er følgende underdatabehandlere aktive i leveringen af Biscotti CMP-tjenesterne og anses af den dataansvarlige for at være godkendt. Databehandleren har sikret sig, at det er den respektive EU-filial, der fungerer som aftalepartner for amerikanske udbydere, for at opretholde EU's databeskyttelsesniveau:

9.3 Overførsel til tredjelande Hvis der finder en behandling sted gennem underdatabehandlere uden for Den Europæiske Union (EU) eller Det Europæiske Økonomiske Samarbejdsområde (EØS) (f.eks. hos Resend), sikrer databehandleren, at de særlige betingelser i art. 44 ff. i GDPR er opfyldt. Dette sker som regel ved indgåelse af EU-Kommissionens aktuelle standardkontraktbestemmelser (SCC'er) i forbindelse med en konsekvensanalyse af overførslen (Transfer Impact Assessment) og implementering af yderligere tekniske foranstaltninger (f.eks. kryptering).

9.4 Skift eller inddragelse af nye underdatabehandlere Databehandleren skal informere den dataansvarlige om enhver påtænkt ændring vedrørende inddragelse eller udskiftning af underdatabehandlere. Oplysningen skal gives skriftligt (f.eks. via e-mail til den adresse, der er angivet i kontoen) mindst 30 dage før den planlagte ændring. Den dataansvarlige kan gøre indsigelse mod ændringen af væsentlige databeskyttelsesmæssige årsager inden for 14 dage efter modtagelsen af meddelelsen. Hvis der ikke gøres indsigelse, betragtes ændringen som godkendt. I tilfælde af en berettiget indsigelse, som databehandleren ikke kan afhjælpe ved hjælp af rimelige foranstaltninger, har den dataansvarlige ret til at opsige hovedkontrakten ekstraordinært på det tidspunkt, hvor ændringen træder i kraft.

§ 10 Støtte i forbindelse med de registreredes rettigheder

10.1 Støttepligt Databehandleren støtter den dataansvarlige så vidt muligt med passende tekniske og organisatoriske foranstaltninger i forbindelse med opfyldelsen af dennes forpligtelse til at besvare anmodninger om udøvelse af de i kapitel III i GDPR nævnte rettigheder for de registrerede (art. 15 til 22 i GDPR) (art. 28, stk. 3, litra e i GDPR).

10.2 Teknisk implementering i Biscotti CMP Biscotti CMP har til formål at yde den dataansvarlige teknisk støtte i forbindelse med dennes forpligtelser:

• Retten til indsigt (art. 15 i GDPR) og retten til dataportabilitet (art. 20 i GDPR): Softwaren tilbyder muligheder for dataeksport (f.eks. som CSV), eller man kan anmode supporten om eksport af specifikke samtykke-ID'er i overensstemmelse med databeskyttelseslovgivningen.
• Retten til tilbagekaldelse (art. 7, stk. 3, GDPR): Samtykkebanneret i Biscotti CMP giver slutbrugerne mulighed for at se de indstillinger, de har valgt, og til enhver tid tilbagekalde dem.
• Retten til sletning (art. 17 i GDPR): Indsamlede data kan slettes af den dataansvarlige via funktioner i dashboardet eller ved at anmode supporten om sletning på en dokumenterbar måde.

10.3 Videresendelse af anmodninger Hvis en registreret person gør sine rettigheder gældende direkte over for databehandleren, vil denne ikke besvare anmodningen selv, men straks henvise den registrerede person til den dataansvarlige, forudsat at det er muligt at henføre sagen til den dataansvarlige på baggrund af de foreliggende data. Databehandleren videresender straks anmodningen til den dataansvarlige.

§ 11 Støtte til DSFA og anmeldelsespligter

11.1 Databeskyttelsesfølgevurdering (art. 35 i GDPR) Databehandleren bistår den dataansvarlige under hensyntagen til behandlingsarten og de oplysninger, der står til rådighed, ved gennemførelsen af en konsekvensanalyse vedrørende databeskyttelse (DSFA) i henhold til art. 35 i GDPR samt ved en eventuelt nødvendig forudgående høring af tilsynsmyndigheden (art. 36 i GDPR).

11.2 Anmeldelse af brud på beskyttelsen af personoplysninger Databehandleren er forpligtet til straks, senest dog inden for 48 timer efter at have fået kendskab hertil, skriftligt at anmelde ethvert brud på beskyttelsen af personoplysninger (databrud), der vedrører de data, der behandles på vegne af den dataansvarlige.

§ 12 Sletning og tilbagelevering af data

12.1 Sletning efter aftalens ophør Efter afslutningen af leveringen af behandlingsydelserne (ophør af hovedkontrakten) er databehandleren forpligtet til, efter den dataansvarliges valg, enten at slette eller returnere alle personoplysninger, medmindre der i henhold til EU-retten eller medlemsstaternes lovgivning (f.eks. opbevaringsforpligtelser i henhold til handels- og skattelovgivningen i henhold til HGB og AO) foreligger en forpligtelse til opbevaring af personoplysningerne.

12.2 Standardproces hos Biscotti CMP Medmindre den dataansvarlige giver andre instrukser, gælder følgende standardproces: Den dataansvarlige har mulighed for selv at sikkerhedskopiere sine data inden kontraktens udløb via eksportfunktionen (CSV). Når opsigelsen er trådt i kraft og afregningsperioden er udløbet, deaktiveres den dataansvarliges konto. De personoplysninger, der er gemt på kontoen, opbevares i en overgangsperiode på 30 dage (opbevaringsfrist) for at muliggøre en gendannelse i tilfælde af en utilsigtet nedgradering. Efter udløbet af disse 30 dage slettes oplysningerne uigenkaldeligt og i overensstemmelse med databeskyttelseslovgivningen fra de produktive systemer.

12.3 Bekræftelse af sletning Databehandleren bekræfter over for den dataansvarlige på dennes udtrykkelige anmodning, at dataene er blevet slettet i overensstemmelse med databeskyttelseslovgivningen i skriftlig form.

§ 13 Kontrolrettigheder og revisioner

13.1 Ret til kontrol Databehandleren stiller alle nødvendige oplysninger til rådighed for den dataansvarlige for at dokumentere overholdelsen af de forpligtelser, der er fastlagt i artikel 28 i GDPR og i denne aftale. Databehandleren muliggør kontroller – herunder inspektioner – udført af den dataansvarlige eller en af denne udpeget revisor, der er forpligtet til fortrolighed, og bidrager til disse.

13.2 Gennemførelse af revisioner For ikke at bringe sikkerheden i datacentrene og fortroligheden af andre kunders data (kundeseparation) i fare, aftaler parterne følgende fremgangsmåde for revisioner:

• Den dataansvarlige vil primært udøve sin kontrolret ved at anmode om og evaluere relevante certifikater (f.eks. ISO 27001) eller ved hjælp af detaljerede spørgeskemaer om IT-sikkerhed.
• Hvis disse oplysninger ikke er tilstrækkelige, har den ansvarlige ret til at gennemføre en inspektion på stedet i Campcruisers GmbH's forretningslokaler (Berliner Str. 21 B, 14612 Falkensee).
• Inspektioner på stedet skal varsles med en rimelig frist (som regel mindst 14 dage).

§ 14 Ansvar og erstatning

14.1 Eksternt forhold (over for berørte personer) Den dataansvarlige og databehandleren hæfter over for den berørte person for erstatning af skader i henhold til artikel 82 i GDPR. Databehandleren hæfter kun for skader, der opstår som følge af en behandling, hvis han ikke har opfyldt sine forpligtelser i henhold til GDPR eller har handlet i strid med den dataansvarliges lovligt udstedte instrukser.

14.2 Internt forhold (mellem parterne) I det interne forhold fritager parterne hinanden for ansvar, hvis en part kan bevise, at den på ingen måde er ansvarlig for den omstændighed, der har forårsaget skaden.

14.3 Ansvarsbegrænsning i henhold til hovedkontrakten Derudover gælder ansvarsbestemmelserne i hovedkontrakten (AGB). Ansvar for let uagtsomhed er udelukket, medmindre der er tale om overtrædelse af væsentlige kontraktmæssige forpligtelser (kardinalforpligtelser). I dette tilfælde er ansvaret begrænset til den for kontrakten typiske, forudsigelige skade.

§ 15 Afsluttende bestemmelser

15.1 Skriftlig form og ændringer Ændringer og tilføjelser til denne aftale skal ske i skriftlig form (f.eks. e-mail). Databehandleren forbeholder sig ret til at ændre denne aftale for at tilpasse den til ændrede retlige forhold eller tekniske udviklinger. Den dataansvarlige informeres om ændringer via e-mail.

15.2 Rangorden Hvis enkelte bestemmelser i denne databehandleraftale er i modstrid med bestemmelserne i hovedkontrakten (AGB), har bestemmelserne i denne databehandleraftale forrang med hensyn til databeskyttelse og datasikkerhed.

15.3 Salvatorisk klausul Skulle enkelte bestemmelser i denne aftale være eller blive ugyldige eller umulige at gennemføre, berører dette ikke gyldigheden af de øvrige bestemmelser. Parterne forpligter sig til at erstatte den ugyldige eller umulige bestemmelse med en gyldig og gennemførlig bestemmelse.

15.4 Gældende lov og værneting Denne aftale er udelukkende underlagt lovgivningen i Forbundsrepublikken Tyskland med udelukkelse af FN's købsret. Eksklusivt værneting for alle tvister, der udspringer af eller har forbindelse med denne aftale, er, i det omfang loven tillader det, databehandlerens hjemsted (Falkensee). Aftalesproget er tysk.