Privatlivspolitik

1. Dataansvarlig og databeskyttelsesrådgiver

1.1 Dataansvarlig (artikel 4 nr. 7 GDPR)

Dataansvarlig for behandlingen af personoplysninger i forbindelse med driften af hjemmesiden biscotti-cmp.com, applikationen app.biscotti-cmp.com samt alle dertil knyttede tjenester er:

Campcruisers GmbH
Berliner Str. 21 B
14612 Falkensee
Deutschland

Repræsenteret ved: Daniel Bosch (Administrerende direktør / CEO)
Desuden bemyndiget til at repræsentere: Philipp André Marschall (Prokurist)

1.2 Databeskyttelsesrådgiver

Hvis der er en lovpligtig forpligtelse til at udpege en databeskyttelsesrådgiver i henhold til § 38, stk. 1, i den tyske databeskyttelseslov (BDSG) eller artikel 37 i GDPR, vil denne blive udpeget, og kontaktoplysningerne vil blive offentliggjort her. Uanset dette sikrer direktionen (Daniel Bosch, Philipp André Marschall) den fulde overvågning og overholdelse af databeskyttelsesretlige forpligtelser.

For alle databeskyttelsesanmodninger bedes du kontakte:
E-mail: [email protected]
Telefon: +49 3322 50703301
Åbningstider: Mandag til fredag, kl. 10:00–17:00 (CET/CEST)

2. Oversigt over behandlingsaktiviteter

Biscotti CMP er en omfattende platform for samtykkestyring og juridisk compliance. I forbindelse med driften af platformen behandler vi personoplysninger inden for følgende områder:

• Registrering og kontostyring (afsnit 3)
• Brug af SaaS-platformen / Dashboard (afsnit 4)
• Samtykkedata fra vores kunders hjemmesidebesøgende (afsnit 5)
• Cookie-scanner (afsnit 6)
• Legal Suite — AI-tekstgenerering (afsnit 7)
• Legal Sync — Overvågning af lovændringer (afsnit 8)
• Policy-Audit — Website-scraping og AI-analyse (afsnit 9)
• Advokatmarkedsplads (afsnit 10)
• Bureau- og White-Label-funktioner (afsnit 11)
• Nyhedsbrev (afsnit 12)
• Review Rewards Program (afsnit 13)
• Betalingsbehandling (afsnit 14)
• GeoIP-genkendelse (afsnit 15)
• Bot-genkendelse (afsnit 16)
• Session-tracking (afsnit 17)
• Sikkerhedskopier (afsnit 18)
• Hosting og infrastruktur (afsnit 19)
• Cookies og Local Storage på biscotti-cmp.com (afsnit 20)

For hver behandlingsaktivitet angives nedenfor formålet, retsgrundlaget, kategorierne af behandlede data, modtagerne samt opbevaringsperioden.

3. Registrering og kontostyring

3.1 Registrering og kontooprettelse

Formål: Oprettelse og administration af din brugerkonto til brug af Biscotti CMP platformen.

Retsgrundlag: Artikel 6, stk. 1, litra b, i GDPR (opfyldelse af kontrakt — registrering er en forudsætning for brug af SaaS-platformen).

Kategorier af behandlede data:

• E-mailadresse (obligatorisk oplysning)
• Adgangskode (gemmes som en kryptografisk hash, aldrig i klartekst)
• Fornavn, efternavn (valgfrit)
• Firmanavn (valgfrit)
• Kontoens sprog (automatisk genkendt fra browsersprog eller manuelt valgt fra 42 tilgængelige sprog)
• Tidspunkt for registrering
• IP-adresse på registreringstidspunktet (til logføring af DPA-samtykke i henhold til artikel 28, stk. 9, i GDPR)

Modtagere: Resend (afsendelse af bekræftelses-e-mail), Hetzner Online GmbH (hosting af databasen).

Opbevaringsperiode: Dataene opbevares i kontraktforholdets varighed. Efter sletning af kontoen slettes dataene straks, med forbehold for lovpligtige opbevaringsforpligtelser (jf. afsnit 23).

3.2 Double-Opt-In (E-mailbekræftelse)

Formål: Bekræftelse af e-mailadressen for at sikre, at indehaveren af e-mailadressen faktisk har foretaget registreringen.

Retsgrundlag: Artikel 6, stk. 1, litra b, i GDPR (opfyldelse af kontrakt) i forbindelse med artikel 6, stk. 1, litra f, i GDPR (legitim interesse i at forhindre misbrug).

Kategorier af behandlede data:

• E-mailadresse
• Bekræftelsestoken (tilfældigt genereret, gyldigt i 24 timer)
• Tidspunkt for afsendelse og bekræftelse
• Bekræftelsesstatus (emailVerified: true/false)

Modtagere: Resend (afsendelse af bekræftelses-e-mail).

Opbevaringsperiode: Bekræftelsestokenet slettes efter bekræftelse eller efter udløbet af 24-timersfristen. Bekræftelsesstatus opbevares i kontraktforholdets varighed.

3.3 Nulstilling af adgangskode

Formål: Muliggørelse af genoprettelse af adgang til kontoen ved glemt adgangskode.

Retsgrundlag: Artikel 6, stk. 1, litra b, i GDPR (opfyldelse af kontrakt).

Kategorier af behandlede data:

• E-mailadresse
• Nulstillingstoken (tilfældigt genereret, tidsbegrænset)
• Tidspunkt for anmodning

Modtagere: Resend (afsendelse af nulstillings-e-mail).

Opbevaringsperiode: Nulstillingstokenet slettes efter brug eller efter udløbet af gyldighedsperioden.

4. Brug af SaaS-platformen (Dashboard)

4.1 Dashboard-brug og bannerkonfiguration

Formål: Tilvejebringelse af den webbaserede brugergrænseflade (Dashboard) på app.biscotti-cmp.com til konfiguration og administration af samtykkebanneret, hjemmesiderne, kategorierne, de juridiske tekster og alle andre platformfunktioner.

Retsgrundlag: Artikel 6, stk. 1, litra b, i GDPR (opfyldelse af kontrakt).

Kategorier af behandlede data:

• Kontodata (e-mail, navn, firma)
• Hjemmesidekonfigurationer (domæne, bannerindstillinger, farver, tekster, samtykkekategorier)
• Bannerstatistik (visninger, interaktioner, acceptrater)
• Scanresultater og scanhistorik
• Genererede juridiske tekster
• Compliance-rapporter og Health-Scores
• Audit-logposter (tidsstempel, bruger-ID, udført handling, IP-adresse)

Modtagere: Hetzner Online GmbH (hosting).

Opbevaringsperiode: I kontraktforholdets varighed. Audit-logs opbevares i 12 måneder. Efter sletning af kontoen slettes dataene uigenkaldeligt efter udløbet af den 30-dages grace-periode.

4.2 Teamstyring

Formål: Muliggørelse af multi-brugeradgang til kontoen ved invitation af teammedlemmer.

Retsgrundlag: Artikel 6, stk. 1, litra b, i GDPR (opfyldelse af kontrakt).

Kategorier af behandlede data:

• E-mailadresser på inviterede teammedlemmer
• Tildelte roller og tilladelser
• Tidspunkt for invitation og accept

Modtagere: Resend (afsendelse af invitations-e-mail), Hetzner Online GmbH (hosting).

Opbevaringsperiode: I teammedlemskabets varighed. Ved fjernelse fra teamet slettes tilknytningsdataene.

4.3 Samtykkeanalyse og A/B-test

Formål: Statistisk evaluering af samtykkerater, bannerinteraktioner og konverteringssporing. A/B-test muliggør sammenligning af forskellige bannervarianter for at optimere acceptraterne.

Retsgrundlag: Artikel 6, stk. 1, litra b, i GDPR (opfyldelse af kontrakt — analysefunktionerne er en del af den bestilte pakke).

Kategorier af behandlede data:

• Aggregerede samtykkestatistikker (ingen individuelle personoplysninger)
• Bannervariantetilknytning (ved A/B-test)
• Trafikfordeling og konverteringsrater

Modtagere: Hetzner Online GmbH (hosting).

Opbevaringsperiode: Aggregerede statistikker opbevares i kontraktforholdets varighed.

5. Samtykkedata fra hjemmesidebesøgende

5.1 Indsamling af samtykkebeslutninger

Formål: Indsamling, lagring og dokumentation af hjemmesidebesøgendes samtykkebeslutninger for at opfylde hjemmesideoperatørens dokumentationspligt i henhold til artikel 7, stk. 1, i GDPR og § 25, stk. 1, i TDDDG.

Retsgrundlag: Artikel 6, stk. 1, litra c, i GDPR (retlig forpligtelse — dokumentationspligt i henhold til artikel 7, stk. 1, i GDPR) i forbindelse med artikel 6, stk. 1, litra f, i GDPR (hjemmesideoperatørens legitime interesse i dokumentation af samtykke).

Kategorier af behandlede data:

• Samtykke-ID (pseudonym UUID, der tildeles slutbrugerenheden/browseren)
• Samtykkebeslutninger pr. kategori (Essentiel, Funktionel, Analyse, Marketing samt eventuelt brugerdefinerede kategorier)
• Tidsstempel for samtykke (dato og tid)
• IP-hash (IP-adressen behandles udelukkende til jurisdiktionsgenkendelse og anonymiseres derefter til en kryptografisk hash; rå-IP-adresser gemmes ikke permanent)
• Landekode (bestemt via GeoIP-genkendelse)
• Browsersprog
• User-Agent-streng
• Referrer-kategori (organisk, social, betalt, direkte, henvisning)
• TCF-streng (ved aktiveret IAB Transparency & Consent Framework 2.3)
• Samtykkevariant (ved aktiveret A/B-test)
• Google Consent Mode v2 signaler
• Global Privacy Control (GPC) signal

Modtagere: Hetzner Online GmbH (hosting, database), MinIO (backup, selvhostet på Hetzner).

Opbevaringsperiode: Samtykkedata opbevares som standard i 18 måneder. Hjemmesideoperatøren (kunden) kan individuelt konfigurere opbevaringsperioden. Efter udløbet af opbevaringsperioden slettes dataene automatisk og uigenkaldeligt.

5.2 Samtykkeopslag (information til hjemmesidebesøgende)

Formål: Muliggørelse af indsigt i lagrede samtykkedata for hjemmesidebesøgende for at opfylde retten til indsigt i henhold til artikel 15 i GDPR.

Retsgrundlag: Artikel 6, stk. 1, litra c, i GDPR (retlig forpligtelse — ret til indsigt i henhold til artikel 15 i GDPR).

Kategorier af behandlede data:

• Samtykke-ID (indtastet af hjemmesidebesøgende)
• IP-adresse (til rate-limiting, gemmes ikke permanent)

Modtagere: Hetzner Online GmbH (hosting).

Opbevaringsperiode: Der gemmes ingen yderligere data. Forespørgslen er begrænset til 10 anmodninger pr. minut pr. IP-adresse.

6. Cookie-scanner

6.1 Automatiseret hjemmesidescanning

Formål: Automatiseret gennemsøgning af vores kunders hjemmesider for cookies, Local Storage-poster og tredjeparts-trackere til identifikation, kategorisering og dokumentation af de anvendte teknologier. Resultaterne bruges til den databeskyttelseskonforme konfiguration af samtykkebanneret.

Retsgrundlag: Artikel 6, stk. 1, litra b, i GDPR (opfyldelse af kontrakt — cookie-scanneren er en kernefunktion på platformen).

Kategorier af behandlede data:

• Domæne og URL for den scannede hjemmeside
• Fundne cookies (navn, værdi, domæne, udløbsdato, sti, Secure-flag, SameSite-attribut)
• Local Storage-poster
• Tredjeparts-trackere og integrerede eksterne ressourcer
• Kategorisering af de fundne elementer (Essentiel, Funktionel, Analyse, Marketing)
• Sammenligning med IAB Global Vendor List (GVL)
• Scantidspunkt og scanningsvarighed

Teknisk implementering: Scanneren anvender Playwright (open source headless-browser fra Microsoft), som drives på vores egne servere på Hetzner (Falkenstein, Tyskland). Der sker ingen dataoverførsel til Microsoft. Scanneren besøger kundens hjemmeside som en almindelig browser for at registrere JavaScript-renderet indhold og dynamisk satte cookies.

Modtagere: Hetzner Online GmbH (hosting), Alibaba Cloud Qwen (AI-baseret kategorisering af fundne cookies).

Opbevaringsperiode: Scanresultater opbevares i kontraktforholdets varighed. Scanhistorik muliggør sammenligning med tidligere scanninger.

6.2 Offentlig Cookie-Checker

Formål: Tilvejebringelse af en gratis, offentlig cookie-checker på marketinghjemmesiden, som kan bruges uden registrering.

Retsgrundlag: Artikel 6, stk. 1, litra f, i GDPR (legitim interesse i at levere en informationstjeneste og kunderekruttering).

Kategorier af behandlede data:

• Indtastet domæne/URL
• IP-adresse (til rate-limiting, gemmes ikke permanent)
• Scanresultater

Modtagere: Hetzner Online GmbH (hosting).

Opbevaringsperiode: Scanresultater fra den offentlige checker gemmes midlertidigt. Brugen er begrænset til 3 scanninger pr. dag pr. IP-adresse.

7. Legal Suite — AI-tekstgenerering

7.1 AI-baseret generering af juridiske tekster

Formål: Generering af skræddersyede juridiske tekster (Impressum, Databeskyttelseserklæring, Cookie-politik, Generelle forretningsbetingelser, Fortrydelsesret, DPA, Forsendelses- og returbetingelser, Brugsbetingelser, Ansvarsfraskrivelse, NDA, DSA-informationer og over 30 andre dokumenttyper) baseret på kundens indtastede informationer ved brug af kunstig intelligens.

Retsgrundlag: Artikel 6, stk. 1, litra b, i GDPR (opfyldelse af kontrakt — Legal Suite er en del af den bestilte pakke).

Kategorier af behandlede data, der overføres til Alibaba Cloud Qwen:

• Kundens virksomhedsdata (firmanavn, retsform, adresse, kontaktoplysninger)
• Navne på repræsentationsberettigede (administrerende direktører, prokurister)
• Registerdata (registerdomstol, registreringsnummer, momsregistreringsnummer)
• Branchespecifikke informationer og forretningskategori
• Beskrivelse af behandlingsaktiviteterne
• Individuelle oplysninger om dokumenttypen indtastet af kunden
• Jurisdiktionsinformationer

AI-udbyder: Alibaba Cloud Qwen (Alibaba (Netherlands) B.V., Herengracht 448, 1017 CA Amsterdam, Niederlande). Behandlingen sker via Alibaba Cloud Model Studio (Qwen) API inden for EU/EØS. I henhold til Alibaba Cloud-databeskyttelsesbestemmelserne bruges inputdata ikke til træning af AI-modeller.

Modtagere: Alibaba Cloud Qwen (AI-behandling), Hetzner Online GmbH (hosting, lagring af de genererede tekster).

Opbevaringsperiode: Genererede juridiske tekster opbevares i kontraktforholdets varighed. Hos Alibaba Cloud Qwen gemmes inputdata i henhold til Alibaba Cloud-brugsbetingelserne ikke ud over behandlingen.

7.2 Bring Your Own Key (BYOK)

Formål: Kunder kan valgfrit gemme deres egne API-nøgler til AI-udbydere (Alibaba Qwen, Google Gemini, OpenAI, Anthropic Claude, Ollama) for at håndtere tekstgenerering via deres egen konto hos den respektive AI-udbyder.

Retsgrundlag: Artikel 6, stk. 1, litra b, i GDPR (opfyldelse af kontrakt).

Kategorier af behandlede data:

• Kundens API-nøgle (gemmes krypteret med AES-256-GCM)

Bemærk: Ved brug af en egen API-nøgle sker behandlingen af inputdata hos den respektive AI-udbyder under kundens ansvar. De respektive udbyderes databeskyttelsesbestemmelser gælder.

Modtagere: Den af kunden valgte AI-udbyder.

Opbevaringsperiode: Den krypterede API-nøgle opbevares i kontraktforholdets varighed og slettes ved kontoens sletning.

8. Legal Sync — Overvågning af lovændringer

Formål: Automatiseret overvågning af lovændringer i over 186 jurisdiktioner. Ved relevante ændringer markeres kundens berørte juridiske tekster automatisk som værende i behov for opdatering. I pakker med "Auto-Update"-funktion kan berørte tekster automatisk regenereres.

Retsgrundlag: Artikel 6, stk. 1, litra b, i GDPR (opfyldelse af kontrakt — Legal Sync er en del af den bestilte pakke).

Kategorier af behandlede data:

• Jurisdiktionstilknytning af kundens hjemmesider
• Tilknytning af de genererede juridiske tekster til jurisdiktioner
• Tidspunkt og type af den registrerede lovændring
• Opdateringsstatus (aktuel, kræver opdatering, automatisk opdateret)

Teknisk implementering: En daglig automatiseret proces (Cron-job, 03:00 UTC) kontrollerer for lovændringer og sammenligner disse med kundedokumenterne.

Modtagere: Hetzner Online GmbH (hosting), Alibaba Cloud Qwen (ved automatisk regenerering af juridiske tekster), Resend (notifikations-e-mails).

Opbevaringsperiode: Ændringsprotokoller opbevares i kontraktforholdets varighed.

9. Policy-Audit — Website-scraping og AI-analyse

9.1 Automatiserede compliance-audits

Formål: Automatiseret ugentlig gennemgang af kundens hjemmesider for databeskyttelsesretlige risici. Dette omfatter identifikation af nye cookies siden den sidste scanning, kontrol af samtykkeproblemer samt AI-baseret analyse af kundens eksisterende juridiske tekster (databeskyttelseserklæring, impressum). Resultatet præsenteres som en Health-Score (A–F).

Retsgrundlag: Artikel 6, stk. 1, litra b, i GDPR (opfyldelse af kontrakt — compliance-audit-funktionen er en del af platformen).

Kategorier af behandlede data:

• Domæne og URL for den gennemgåede hjemmeside
• Scrapede indhold af kundens databeskyttelseserklæring og impressum
• Resultater af AI-analysen (identificerede huller, forældede referencer, manglende tjenester)
• Health-Score og compliance-rapport
• Tidspunkt for audit

Teknisk implementering: Playwright (headless-browser, selvhostet på Hetzner) scraper de offentligt tilgængelige juridiske tekster fra kundens hjemmeside. De scrapede tekster analyseres derefter via Alibaba Cloud Model Studio (Qwen) API.

Modtagere: Hetzner Online GmbH (hosting), Alibaba Cloud Qwen (AI-analyse), Resend (notifikations-e-mails ved identificerede problemer).

Opbevaringsperiode: Audit-resultater og compliance-rapporter opbevares i kontraktforholdets varighed.

10. Advokatmarkedsplads

10.1 Formidling af advokatydelser

Formål: Formidling af advokatydelser mellem kunder og uafhængige advokater, der er registreret på platformen. Campcruisers GmbH fungerer udelukkende som formidler og bliver ikke selv kontraktpart i klientforholdet mellem kunden og advokaten (jf. § 14 AGB).

Retsgrundlag: Art. 6, stk. 1, lit. b, GDPR (opfyldelse af kontrakt — brug af advokatmarkedspladsen).

10.2 Advokatregistrering

Kategorier af behandlede data:

• Advokatens kontaktoplysninger (navn, e-mail, telefon, kontoradresse)
• Faglige kvalifikationer og specialområder
• Verifikationsdokumenter (maks. 10 MB, PDF/JPEG/PNG)
• Verifikationsstatus (PENDING_APPROVAL, APPROVED, REJECTED)
• Tilgængelighed (ugentlige tidsvinduer, blokerede datoer, tidszone)
• Profilbillede og profilbeskrivelse
• Stripe Connect-kontooplysninger (til udbetalinger)

10.3 Klientdata

Kategorier af behandlede data:

• Tilbudsforespørgsler og tilbud (beskrivelse, pris, gyldighedsperiode)
• Klientstatus (QUOTE_REQUESTED, QUOTE_SENT, PAYMENT_PENDING, IN_REVIEW, COMPLETED, QUOTE_REJECTED, QUOTE_EXPIRED, CANCELLED, DISPUTED)
• Meddelelser mellem kunde og advokat
• Betalingsoplysninger (beløb, platformsgebyr, udbetalingsbeløb)

10.4 Videorådgivning (Twilio)

Formål: Tilvejebringelse af videorådgivning mellem kunder og advokater.

Retsgrundlag: Art. 6, stk. 1, lit. b, GDPR (opfyldelse af kontrakt).

Kategorier af behandlede data:

• Videorådgivningsmetadata (tidspunkt, varighed, deltagere)
• Twilio-rum-ID og adgangstoken

Modtagere: Twilio Ireland Limited, Dublin, Irland (levering af videoinfrastruktur).

10.5 Anmeldelser

Formål: Muliggørelse af kundebedømmelser af advokater med henblik på kvalitetssikring.

Retsgrundlag: Art. 6, stk. 1, lit. f, GDPR (legitim interesse i kvalitetssikring og gennemsigtighed).

Kategorier af behandlede data:

• Anmeldelse (stjerner, fritekst)
• Tidspunkt for anmeldelsen
• Tilknytning til klientforholdet

Modtagere for hele advokatmarkedspladsen: Stripe Connect (betalingsbehandling), Twilio (videorådgivning), Hetzner Online GmbH (hosting), Resend (meddelelser).

Opbevaringsperiode: Klientdata opbevares i kontraktforholdets varighed, dog mindst i den periode, der er fastsat af lovpligtige opbevaringsforpligtelser (10 år for fakturadata). Anmeldelser forbliver synlige i advokatens registreringsperiode. Ikke-accepterede tilbud udløber automatisk efter 7 dage.

11. Bureau- og White-Label-funktioner

11.1 Sub-konto-administration

Formål: Muliggørelse af administration af slutbrugerkonti (sub-konti) af bureauer inden for rammerne af Agency-abonnementet.

Retsgrundlag: Art. 6, stk. 1, lit. b, GDPR (opfyldelse af kontrakt).

Kategorier af behandlede data:

• E-mailadresser og kontaktoplysninger for sub-kontoindehavere (bureauets slutkunder)
• Invitationsdata (e-mail, tidspunkt)
• Proxy-token-adgangslogfiler (tidspunkt, bureau-bruger, sub-konto)
• Website-konfigurationer og samtykkedata for sub-konti

Modtagere: Hetzner Online GmbH (hosting), Resend (invitations-e-mails).

Opbevaringsperiode: I kontraktforholdets varighed mellem bureauet og Campcruisers GmbH.

11.2 Brugerdefineret domæne (CNAME)

Formål: Tilvejebringelse af et eget domæne til bureauets dashboard.

Retsgrundlag: Art. 6, stk. 1, lit. b, GDPR (opfyldelse af kontrakt).

Kategorier af behandlede data:

• Bureauets domænenavn
• DNS-verifikationsdata
• SSL/TLS-certifikatdata (leveres automatisk via Let's Encrypt)

Modtagere: Let's Encrypt (udstedelse af SSL-certifikater — kun domænenavne overføres, ingen personoplysninger om fysiske personer), Hetzner Online GmbH (hosting, Traefik-routing).

11.3 Egne transaktions-e-mails

Formål: Muliggørelse af afsendelse af transaktions-e-mails under bureauets branding via en egen e-mailudbyder.

Retsgrundlag: Art. 6, stk. 1, lit. b, GDPR (opfyldelse af kontrakt).

Kategorier af behandlede data:

• API-nøgler fra bureauets e-mailudbyder (lagret krypteret med AES-256-GCM)
• E-mailafsenderdata (navn, e-mailadresse)
• Understøttede udbydere: Resend, SendGrid, Mailjet, Mailchimp/Mandrill, Maileroo, Gmail SMTP, Custom SMTP

Bemærk: Ved brug af en egen e-mailudbyder sker e-mailafsendelsen under bureauets databeskyttelsesretlige ansvar.

Opbevaringsperiode: Krypterede API-nøgler opbevares i kontraktforholdets varighed.

12. Nyhedsbrev

12.1 Nyhedsbrevsabonnement

Formål: Afsendelse af information om produktupdates, databeskyttelsesret, compliance-emner og nyheder vedrørende Biscotti CMP.

Retsgrundlag: Art. 6, stk. 1, lit. a, GDPR (samtykke — nyhedsbrevet sendes kun efter udtrykkeligt samtykke via double opt-in-proceduren).

Kategorier af behandlede data:

• E-mailadresse
• Tidspunkt for tilmelding og double opt-in-bekræftelse
• Afmeldingsstatus

Double opt-in-procedure: Efter indtastning af e-mailadressen modtager du en bekræftelses-e-mail med et verifikationslink. Først efter at have klikket på dette link vil din e-mailadresse blive tilføjet nyhedsbrevslisten.

Modtagere: Resend (afsendelse af nyhedsbrevs-e-mails og bekræftelses-e-mailen).

Afmelding: Du kan til enhver tid afmelde nyhedsbrevet. Hver nyhedsbrevs-e-mail indeholder et afmeldingslink (Unsubscribe-Link). Alternativt kan du afmelde dig via e-mail til [email protected].

Opbevaringsperiode: Din e-mailadresse opbevares, indtil du afmelder nyhedsbrevet. Efter afmelding slettes e-mailadressen straks fra listen. For at dokumentere det afgivne samtykke opbevares tidspunktet for tilmelding og bekræftelse i 3 år efter afmelding (legitim interesse i at kunne bevise samtykket, Art. 6, stk. 1, lit. f, GDPR).

13. Anmeldelsesbelønningsprogram

Formål: Belønning af kunder, der afgiver anmeldelser om Biscotti CMP på eksterne anmeldelsesplatforme, med bonus-sessioner og en midlertidig planopgradering.

Retsgrundlag: Art. 6, stk. 1, lit. b, GDPR (opfyldelse af kontrakt — deltagelse i programmet er frivillig og udgør en kontraktuel tillægsydelse).

Kategorier af behandlede data:

• Kontodata for den deltagende kunde
• Anmeldelsesplatform (OMR Reviews, Capterra, G2, Google Business, WordPress.org, Trustpilot, SourceForge, Facebook, earlybird.so)
• Link til den afgivne anmeldelse
• Godkendelsesstatus (via admin-kontrol)
• Belønningsdata (15.000 bonus-sessioner, 1 måneds planopgradering)

Modtagere: Hetzner Online GmbH (hosting).

Opbevaringsperiode: Belønningsdata opbevares i kontraktforholdets varighed. Bonus-sessioner udløber efter 6 måneder (regulære planer) eller er ubegrænset gyldige (LTD-planer).

14. Betalingsbehandling (Stripe)

14.1 Abonnementsbetalinger

Formål: Behandling af betalinger for betalte abonnementsplaner, Credit Packs og andre betalte ydelser.

Retsgrundlag: Art. 6, stk. 1, lit. b, GDPR (opfyldelse af kontrakt).

Kategorier af behandlede data:

• Faktureringsadresse (navn/firma, gade, postnummer, by, land)
• Momsnummer (for B2B-kunder)
• Betalingsmetode (kreditkort, SEPA-direkte debitering, PayPal, Apple Pay, Google Pay osv.)
• Betalingshistorik og fakturaer
• Stripe Customer-ID og Subscription-ID

Modtagere: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Stripe er certificeret under EU-US Data Privacy Framework.

Opbevaringsperiode: Fakturaer og regnskabsdata opbevares i 10 år (§ 147 AO, §§ 238, 257 HGB). Betalingsmetoder opbevares hos Stripe i abonnementsperioden.

14.2 Stripe Connect (Advokatmarkedsplads)

Formål: Behandling af betalinger mellem kunder og advokater via advokatmarkedspladsen samt udbetaling til advokater.

Retsgrundlag: Art. 6, stk. 1, lit. b, GDPR (opfyldelse af kontrakt).

Kategorier af behandlede data:

• Stripe Connect Express-kontooplysninger for advokaterne
• Betalingsbeløb, platformsgebyr, udbetalingsbeløb
• Checkout-session-data

Modtagere: Stripe Payments Europe, Ltd., Dublin, Irland.

Opbevaringsperiode: I henhold til opbevaringsforpligtelserne for fakturadata (10 år).

14.3 ZUGFeRD-fakturaer

Formål: Oprettelse og levering af fakturaer i ZUGFeRD-format (PDF med indlejret XML i henhold til EN 16931).

Retsgrundlag: Art. 6, stk. 1, lit. b, GDPR (opfyldelse af kontrakt) i forbindelse med Art. 6, stk. 1, lit. c, GDPR (retlig forpligtelse — faktureringsforpligtelser i henhold til UStG, HGB).

Kategorier af behandlede data:

• Faktureringsadresse, kundenummer (CUS-JJMM-XXXXX), fakturanummer (INV-JJMM-XXXXX)
• Ydelsesbeskrivelse, beløb, skattesatser

Modtagere: Resend (afsendelse af faktura via e-mail), Hetzner Online GmbH (hosting).

Opbevaringsperiode: 10 år (§ 147 AO, §§ 238, 257 HGB).

15. GeoIP-genkendelse

Formål: IP-baseret bestemmelse af land eller jurisdiktion for website-besøgende med henblik på dynamisk visning af lovlige banner-varianter (f.eks. Opt-In for GDPR-lande, Opt-Out for CCPA-lande, Notice-Only for lande uden specifik cookie-lovgivning).

Retsgrundlag: Art. 6, stk. 1, lit. f, GDPR (legitim interesse i den lovlige visning af samtykkebanneret i overensstemmelse med den gældende jurisdiktion for website-besøgende).

Kategorier af behandlede data:

• Website-besøgerens IP-adresse (overføres til ip-api.com til landegenkendelse)
• Identificeret landekode

Teknisk implementering: IP-adressen overføres til tjenesten ip-api.com (baseret i Litauen, EU). Resultatet (landekode) cachelagres i 1 time i cache (Redis) for at undgå gentagne forespørgsler. Efter landegenkendelsen anonymiseres IP-adressen til en kryptografisk hash (IP-hash). Rå-IP-adresser gemmes ikke permanent.

Modtagere: ip-api.com (ip-api, Litauen — GeoIP-tjeneste), Hetzner Online GmbH (hosting, Redis-cache).

Opbevaringsperiode: GeoIP-resultatet gemmes i cache i 1 time. Rå-IP-adresser anonymiseres straks efter landegenkendelsen. IP-hashen gemmes som en del af samtykkedataene i den konfigurerede opbevaringsperiode (standard: 18 måneder).

16. Bot-genkendelse

Formål: Sondring mellem menneskelige website-besøgende og automatiserede adgange (bots, crawlere, scrapere) for korrekt sessionstælling. Automatiserede adgange tælles ikke som sessioner og faktureres ikke.

Retsgrundlag: Art. 6, stk. 1, lit. f, GDPR (legitim interesse i korrekt fakturering og beskyttelse af platformen mod misbrug).

Kategorier af behandlede data:

• User-Agent-streng
• HTTP-headers (f.eks. Accept-Language, Accept-Encoding)
• Karakteristika for headless-browsere
• IP-adresse (til IP-baseret rate-limiting, gemmes ikke permanent)

Teknisk implementering: Bot-genkendelsen analyserer hver adgang baseret på User-Agent-analyse, Header-analyse (f.eks. manglende Accept-Language-headers), genkendelse af headless-browsere og IP-baseret rate-limiting. Analysen udføres i realtid på vores servere.

Modtagere: Hetzner Online GmbH (hosting).

Opbevaringsperiode: Analyseresultaterne gemmes ikke permanent. Resultatet (Bot: ja/nej) indgår i sessionstællingen.

16.1 Cloudflare Turnstile (Bot-beskyttelse ved login/registrering)

Formål: Beskyttelse af login- og registreringsformularer mod automatiserede bot-angreb.

Retsgrundlag: Art. 6, stk. 1, lit. f, GDPR (legitim interesse i beskyttelse af platformen mod misbrug og automatiserede angreb).

Kategorier af behandlede data:

• IP-adresse
• Browserinformationer
• Interaktionsdata med Turnstile-widget'en

Modtagere: Cloudflare Germany GmbH, Rosental 7, 80331 München, Tyskland. Cloudflare er certificeret under EU-US Data Privacy Framework. Sikkerheden er yderligere sikret gennem standardkontraktklausuler (SCC'er).

Opbevaringsperiode: Cloudflare opbevarer data i henhold til deres egne databeskyttelsesbestemmelser. Der gemmes ingen yderligere data fra Turnstile på vores servere.

17. Session-sporing

Formål: Tælling af sessioner til abonnementsbaseret fakturering. En session tælles, når Biscotti-CMP-widget'en (biscotti.min.js) indlæses på en kundes website og sender en HTTP-ping til endepunktet /api/v1/ping.

Retsgrundlag: Art. 6, stk. 1, lit. b, GDPR (opfyldelse af kontrakt — den sessionsbaserede fakturering er grundlaget for prismodellen).

Kategorier af behandlede data:

• Sessionstæller (aggregeret pr. website og faktureringsmåned)
• Tidspunkt for ping
• Bot-genkendelsesresultat (jf. afsnit 16)

Teknisk implementering: Redis anvendes som en in-memory-database til session-sporing og caching. Redis hostes selv på Hetzner (Falkenstein, Tyskland). Der sker ingen dataoverførsel til tredjeparter.

Modtagere: Hetzner Online GmbH (hosting, Redis).

Opbevaringsperiode: Sessionstællere gemmes for den respektive faktureringsmåned. Historiske sessionsdata opbevares i kontraktforholdets varighed for at sikre sporbarhed af faktureringen.

18. Sikkerhedskopier

Formål: Regelmæssig sikkerhedskopiering af samtykkelogfiler, bannerkonfigurationer, websitekonfigurationer og databasedata for at sikre genoprettelighed i tilfælde af datatab.

Retsgrundlag: Art. 6, stk. 1, lit. f, GDPR (legitim interesse i datasikkerhed og genoprettelighed i henhold til Art. 32, stk. 1, lit. c, GDPR).

Kategorier af behandlede data:

• Alle data gemt i databasen (samtykkelogfiler, konfigurationer, kontodata, juridiske tekster, scanningsresultater)
• Bannerkonfigurationer

Teknisk implementering:

• Daglige automatiske sikkerhedskopier af PostgreSQL-databasen
• Daglige automatiske sikkerhedskopier af bannerkonfigurationer og websitekonfigurationer
• Lagring på selvhostet MinIO-lager inden for Hetzner
• Serverside-kryptering med AES-256
• Integritetskontrol via SHA-256-checksums
• Regelmæssige genoprettelsestests

Modtagere: MinIO (selvhostet på Hetzner Online GmbH).

Opbevaringsperiode: Sikkerhedskopier opbevares i en rullende periode. Ved sletning af en konto slettes sikkerhedskopidataene efter udløbet af den 30-dages grace-periode og den næste sikkerhedskopieringsrotationscyklus.

19. Hosting og infrastruktur

19.1 Hetzner Online GmbH

Formål: Hosting af hele Biscotti CMP-infrastrukturen, herunder webserver, database, applikationslogik og alle relaterede tjenester.

Retsgrundlag: Art. 6, stk. 1, lit. b DSGVO (opfyldelse af kontrakt) i forbindelse med Art. 6, stk. 1, lit. f DSGVO (legitim interesse i en pålidelig og sikker infrastruktur).

Datacenterlokation: Falkenstein/Vogtland (Tyskland, EU).

Udbyder: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Tyskland.

Teknisk arkitektur:

• Containeriseret applikation (Docker)
• Traefik som reverse-proxy og load-balancer
• PostgreSQL som relationel database (selvhostet på Hetzner)
• Redis som in-memory-database til session-tracking og caching (selvhostet på Hetzner)
• Playwright som headless-browser til website-scanning (selvhostet på Hetzner)
• MinIO som S3-kompatibel object storage til backups (selvhostet på Hetzner)

19.2 Server-logfiler

Formål: Teknisk levering af hjemmesiden og sikring af systemstabilitet.

Retsgrundlag: Art. 6, stk. 1, lit. f DSGVO (legitim interesse i den tekniske levering og sikkerhed).

Kategorier af behandlede data:

• IP-adresse (anonymiseret)
• Dato og tidspunkt for adgang
• Anmodet side/endepunkt
• HTTP-statuskode
• Overført datamængde
• Referrer-URL
• Browser-type og -version
• Operativsystem

Opbevaringsperiode: Server-logfiler opbevares i maksimalt 30 dage og slettes derefter automatisk.

20. Cookies og Local Storage på biscotti-cmp.com

20.1 Egen brug af Biscotti CMP

Til administration af de nødvendige samtykker på vores egen hjemmeside (biscotti-cmp.com) anvender vi vores eget produkt "Biscotti CMP".

20.2 Teknisk nødvendige cookies

Formål: Sikring af hjemmesidens og dashboardets funktionalitet.

Retsgrundlag: Art. 6, stk. 1, lit. f DSGVO (legitim interesse i den tekniske funktionalitet) i forbindelse med § 25, stk. 2, nr. 2 TDDDG (teknisk nødvendige cookies er undtaget fra samtykkekravet).

Anvendte teknisk nødvendige cookies:

• Session-cookie (JWT-token til autentificering, gyldighed: 7 dage)
• Samtykke-cookie (lagring af besøgendes samtykkebeslutning på biscotti-cmp.com)
• Sprogpræference-cookie

20.3 Analyse-cookies (kun med samtykke)

Formål: Statistisk evaluering af brugen af vores hjemmeside for at forbedre vores tilbud.

Retsgrundlag: Art. 6, stk. 1, lit. a DSGVO (samtykke) i forbindelse med § 25, stk. 1 TDDDG.

Google Analytics 4: Vi anvender Google Analytics 4 til statistisk evaluering udelukkende med dit samtykke. Udbyder: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Databehandlingen sker i EU. IP-anonymisering er aktiveret.

20.4 Detaljerede cookie-informationer

Detaljerede oplysninger om alle cookies, der anvendes på biscotti-cmp.com, herunder navn, formål, udbyder, opbevaringsperiode og type, findes i vores separate cookiepolitik.

21. Eksterne tjenesteudbydere / modtagere

For at levere vores tjenester anvender vi følgende eksterne tjenesteudbydere. Denne liste svarer til § 24 i vores generelle forretningsbetingelser og § 7 i vores databehandleraftale:

Selvhostede teknologier (ingen selvstændige underdatabehandlere):

• PostgreSQL (Open Source) — Relationel database, selvhostet på Hetzner (Falkenstein)
• Redis (Open Source) — In-memory-database til session-tracking og caching, selvhostet på Hetzner (Falkenstein)
• Playwright (Open Source, Microsoft) — Headless-browser til website-scanning, selvhostet på Hetzner (Falkenstein)
• MinIO (Open Source) — S3-kompatibel object storage til backups, selvhostet på Hetzner (Falkenstein)

Med disse teknologier sker der ingen dataoverførsel til tredjeparter. De er en del af den under nr. 5 nævnte Hetzner-infrastruktur.

22. Tredjelandsoverførsel

22.1 Princip

Behandlingen af personoplysninger sker som udgangspunkt inden for Den Europæiske Union (EU) eller Det Europæiske Økonomiske Samarbejdsområde (EØS). Den primære infrastruktur (Hetzner Online GmbH, Falkenstein) er placeret i Tyskland.

22.2 Overførsler til tredjelande

I det omfang behandling udføres af eksterne tjenesteudbydere uden for EU/EØS, sikrer vi, at de særlige betingelser i Art. 44 ff. DSGVO er opfyldt:

(a) Resend (USA):

• Sikring gennem EU-Kommissionens nuværende standardkontraktbestemmelser (SCC'er) i henhold til gennemførelsesafgørelse (EU) 2021/914
• Yderligere sikring gennem EU-US Data Privacy Framework (DPF) i henhold til EU-Kommissionens afgørelse om tilstrækkelighed af 10. juli 2023
• Supplerende tekniske foranstaltninger: TLS-kryptering af alle e-mail-overførsler
• Databehandling sker på AWS-servere i EU (Region eu-west-1)

(b) Let's Encrypt (USA):

• Kommunikationen med Let's Encrypt er begrænset til den automatiserede udstedelse af SSL/TLS-certifikater via ACME-protokollen
• Der overføres udelukkende domænenavne — ingen personoplysninger om fysiske personer

(c) Cloudflare Turnstile (Global):

• Sikring gennem EU-Kommissionens standardkontraktbestemmelser (SCC'er)
• Yderligere sikring gennem EU-US Data Privacy Framework
• Behandlingen er begrænset til bot-genkendelse ved login- og registreringsprocesser

22.3 Vurdering af overførselskonsekvenser

For hver tredjelandsoverførsel udfører vi en vurdering af overførselskonsekvenser (Transfer Impact Assessment — TIA) for at sikre, at databeskyttelsesniveauet i tredjelandet i det væsentlige svarer til EU's. Resultaterne af TIA'en stiller vi til rådighed på anmodning.

22.4 Ændringer i retstilstanden

Skulle en tilstrækkelighedsafgørelse fra EU-Kommissionen blive ophævet, eller en tredjelandsoverførsel blive forbudt af en tilsynsmyndighed eller en domstol, vil vi straks informere dig og træffe passende alternative beskyttelsesforanstaltninger eller indstille den berørte behandling.

23. Opbevaringsperiode og slettefrister

Vi opbevarer personoplysninger kun så længe, som det er nødvendigt for det pågældende behandlingsformål, eller så længe der er lovmæssige opbevaringsforpligtelser. Nedenfor er en oversigt over de væsentligste opbevaringsperioder:

Efter sletning af kontoen slettes alle personoplysninger efter udløbet af den 30-dages graceperiode uigenkaldeligt og i overensstemmelse med databeskyttelsesreglerne fra de produktive systemer og backups, med forbehold for de ovennævnte lovmæssige opbevaringsforpligtelser.

24. Rettigheder for de registrerede (Art. 15–22 DSGVO)

Som registreret har du følgende rettigheder vedrørende dine personoplysninger:

24.1 Ret til indsigt (Art. 15 DSGVO)

Du har ret til at anmode os om bekræftelse af, om vi behandler personoplysninger om dig. Hvis dette er tilfældet, har du ret til indsigt i disse personoplysninger og i de oplysninger, der er nævnt i Art. 15, stk. 1 DSGVO (behandlingsformål, kategorier af personoplysninger, modtagere, planlagt opbevaringsperiode, datakilde, eksistens af automatiseret beslutningstagning).

Teknisk implementering: Du kan til enhver tid se dine kontooplysninger i dashboardet. Samtykkedata kan downloades via eksportfunktionen (CSV). Hjemmesidebesøgende kan se deres gemte samtykkedata via den offentlige Consent-Lookup-side ved at angive deres Consent-ID.

24.2 Ret til berigtigelse (Art. 16 DSGVO)

Du har ret til uden unødig forsinkelse at få urigtige personoplysninger berigtiget. Under hensyntagen til formålene med behandlingen har du ret til at få fuldstændiggjort ufuldstændige personoplysninger.

Teknisk implementering: Kontooplysninger (navn, e-mail, firma, adresse) kan til enhver tid berigtiges i dashboardet.

24.3 Ret til sletning (Art. 17 DSGVO)

Du har ret til at anmode om øjeblikkelig sletning af dine personoplysninger, hvis en af de i Art. 17, stk. 1 DSGVO nævnte grunde er opfyldt (f.eks. data er ikke længere nødvendige til formålet, tilbagekaldelse af samtykke, ulovlig behandling).

Teknisk implementering: Du kan til enhver tid anmode om sletning af din konto via dashboardet eller via e-mail til [email protected]. Ved sletning af kontoen slettes alle personoplysninger uigenkaldeligt, med forbehold for lovmæssige opbevaringsforpligtelser (jf. afsnit 23). Samtykkedata kan slettes af kunden (hjemmesideoperatøren) via dashboard-funktionerne.

Begrænsninger: Retten til sletning gælder ikke, i det omfang behandlingen er nødvendig for at opfylde en retlig forpligtelse (f.eks. skatte- og handelsretlige opbevaringsforpligtelser).

24.4 Ret til begrænsning af behandling (Art. 18 DSGVO)

Du har ret til at anmode om begrænsning af behandlingen, hvis en af de i Art. 18, stk. 1 DSGVO nævnte betingelser er opfyldt (f.eks. bestridelse af rigtigheden, ulovlig behandling, indsigelse i henhold til Art. 21 DSGVO).

Teknisk implementering: Begrænsning af individuelle datasæt kan initieres via dashboard-funktionerne eller ved at kontakte vores support.

24.5 Ret til dataportabilitet (Art. 20 DSGVO)

Du har ret til at modtage de personoplysninger, du har givet os, i et struktureret, almindeligt anvendt og maskinlæsbart format. Du har ret til at overføre disse data til en anden dataansvarlig uden hindring.

Teknisk implementering: Biscotti CMP tilbyder omfattende dataeksportmuligheder i CSV-format via dashboardet og REST-API'en. Eksportérbare data er: Samtykkedata, hjemmesidekonfigurationer, scanningsresultater, juridiske tekster, audit-logs og fakturaer.

24.6 Ret til indsigelse (Art. 21 DSGVO)

Du har til enhver tid ret til at gøre indsigelse mod behandling af personoplysninger om dig, der er baseret på Art. 6, stk. 1, lit. f DSGVO (legitim interesse), af grunde, der vedrører din særlige situation. Vi behandler derefter ikke længere personoplysningerne, medmindre vi kan påvise tvingende legitime grunde til behandlingen, der går forud for dine interesser, rettigheder og friheder, eller behandlingen er nødvendig for at fastlægge, gøre gældende eller forsvare retskrav.

24.7 Ret til at trække samtykke tilbage (Art. 7, stk. 3 DSGVO)

I det omfang behandlingen er baseret på dit samtykke (Art. 6, stk. 1, lit. a DSGVO), har du ret til at trække samtykket tilbage til enhver tid. Lovligheden af den behandling, der er foretaget på grundlag af samtykket indtil tilbagetrækningen, berøres ikke af tilbagetrækningen.

Teknisk implementering for hjemmesidebesøgende: Samtykkebanneret fra Biscotti CMP giver slutbrugere mulighed for til enhver tid at se og tilbagekalde trufne indstillinger. Tilbagetrækning er lige så let som at give samtykke.

Teknisk implementering for nyhedsbreve: Hver nyhedsbrevs-e-mail indeholder et afmeldingslink.

24.8 Ret til at indgive klage til en tilsynsmyndighed (Art. 77 DSGVO)

Du har ret til at indgive en klage til en databeskyttelsestilsynsmyndighed over vores behandling af dine personoplysninger. Den tilsynsmyndighed, der er ansvarlig for os, er:

Den regionale databeskyttelsesansvarlige og for retten til aktindsigt Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow
Telefon: +49 33203 356-0
E-mail: [email protected]

Du kan dog også henvende dig til tilsynsmyndigheden i dit sædvanlige opholdsland eller på din arbejdsplads.

24.9 Kontakt for udøvelse af dine rettigheder

For at udøve dine rettigheder bedes du kontakte:

E-mail: [email protected]
Telefon: +49 3322 50703301
Post: Campcruisers GmbH, Berliner Str. 21 B, 14612 Falkensee, Tyskland

Vi behandler din anmodning uden unødig forsinkelse, dog senest inden for en måned efter modtagelsen (Art. 12, stk. 3 DSGVO). I komplekse tilfælde eller ved et stort antal anmodninger kan denne frist forlænges med yderligere to måneder, hvilket vi vil informere dig om med angivelse af årsagerne.

25. Automatiseret beslutningstagning (Art. 22 DSGVO)

25.1 AI-tekstgenerering

Inden for Legal Suite genereres juridiske tekster af kunstig intelligens (Alibaba Cloud Qwen). Denne tekstgenerering udgør en automatiseret behandling, men er ikke automatiseret beslutningstagning i henhold til Art. 22, stk. 1 DSGVO, da:

• De genererede tekster ikke har retsvirkning over for den registrerede og ikke på lignende måde væsentligt påvirker denne.
• Teksterne udelukkende udgør udkast, som kunden skal gennemgå, redigere og godkende før brug.
• Ingen beslutning udelukkende er baseret på automatiseret behandling — kunden bevarer altid fuld kontrol over brugen af de genererede tekster.

25.2 AI-understøttet cookie-kategorisering

Den automatiske kategorisering af cookies ved hjælp af AI (Essentiel, Funktionel, Analyse, Marketing) udgør en supportfunktion. Kunden kan til enhver tid manuelt gennemgå og tilpasse kategoriseringen. Der er ikke tale om automatiseret beslutningstagning i henhold til Art. 22 DSGVO.

25.3 Bot-genkendelse

Den automatiserede bot-genkendelse (jf. afsnit 16) afgør automatisk, om en adgang klassificeres som menneskelig eller automatiseret. Denne beslutning har indflydelse på sessionstællingen og dermed på faktureringen. Da beslutningen udelukkende vedrører kunden (ikke hjemmesidebesøgende), og kunden kan følge sessionstællingen i dashboardet, foreligger der ikke automatiseret beslutningstagning i henhold til Art. 22 DSGVO, der væsentligt påvirker en registreret person.

25.4 Compliance-Health-Score

Den automatiserede beregning af Compliance-Health-Score (A–F) inden for rammerne af Policy-Auditen (jf. afsnit 9) udgør en informations- og supportfunktion. Scoren har ingen retsvirkning og tjener udelukkende til kundens information.

25.5 Gennemsigtighedsmeddelelse i henhold til EU AI Act

Vi anvender AI-systemer (Alibaba Cloud Qwen) til tekstgenerering, cookie-kategorisering og politik-analyse. I henhold til gennemsigtighedsforpligtelserne i forordning (EU) 2024/1689 (EU AI Act) gør vi opmærksom på, at:

• AI-genereret indhold markeres som sådant.
• AI'en simulerer forskellige juridiske ekspertroller — det er ikke en gennemgang af rigtige advokater.
• Vi anbefaler kraftigt, at AI-genererede juridiske tekster gennemgås af en kvalificeret advokat, før de tages i brug.

26. Ændringer i databeskyttelseserklæringen

Vi forbeholder os ret til at tilpasse denne databeskyttelseserklæring for at tilpasse den til ændrede retlige forhold, tekniske udviklinger eller nye funktionaliteter i Biscotti CMP. Den til enhver tid gældende version er altid tilgængelig på vores hjemmeside under biscotti-cmp.com/de/datenschutz.

Ved væsentlige ændringer, der vedrører dine rettigheder eller typen af databehandling, vil vi informere dig via e-mail til den e-mailadresse, der er registreret på din konto. Vi anbefaler dig at gennemgå denne databeskyttelseserklæring regelmæssigt.

27. Ansvarlig tilsynsmyndighed

Den databeskyttelsestilsynsmyndighed, der er ansvarlig for Campcruisers GmbH, er:

Den regionale databeskyttelsesansvarlige og for retten til aktindsigt Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow
Tyskland
Telefon: +49 33203 356-0
E-mail: [email protected]
Hjemmeside: https://www.lda.brandenburg.de

Datasikkerhed

Vi anvender omfattende tekniske og organisatoriske sikkerhedsforanstaltninger i henhold til Art. 32 DSGVO for at beskytte dine personoplysninger. Disse omfatter især:

• Kryptering under overførsel: TLS 1.2/1.3 for alle dataoverførsler, HTTPS-håndhævelse (HSTS)
• Kryptering i hvile: AES-256-kryptering af alle databaser og lagringsmedier på Hetzner Online GmbH, AES-256-GCM for følsomme konfigurationsdata (API-nøgler, BYOK-nøgler)
• Pseudonymisering: Samtykkedata knyttes til pseudonyme Consent-ID'er, IP-adresser anonymiseres til IP-hashes
• Adgangskontrol: Rollebaseret adgangskontrol (RBAC), princippet om minimale rettigheder, logisk klientadskillelse
• Autentificering: JWT-baseret autentificering, Cloudflare Turnstile til beskyttelse mod bot-angreb
• Backup og gendannelse: Daglige automatiske backups med AES-256-kryptering og SHA-256-integritetskontrol
• Audit-logging: Omfattende logningssystem for alle sikkerhedsrelevante handlinger

De fuldstændige tekniske og organisatoriske foranstaltninger (TOM'er) er dokumenteret i § 8 i vores databehandleraftale (AVV).