Συμφωνία Επεξεργασίας Δεδομένων

Σύμβαση επεξεργασίας δεδομένων (ΣΕΔ) σύμφωνα με το άρθρο 28 του ΓΚΠΔ

Ημερομηνία: 20.03.2026

Μεταξύ

του εγγεγραμμένου πελάτη της Biscotti CMP – εφεξής καλούμενου «υπεύθυνου επεξεργασίας» ή «πελάτη» –

και της

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Ομοσπονδιακή Δημοκρατία της Γερμανίας

Δικαστήριο εγγραφής: Πρωτοδικείο Πότσδαμ Αριθμός μητρώου: HRB 40180 P Αριθμός ΦΠΑ: DE368000447 Αριθμός φορολογικού μητρώου: 29/249/36095 Εκπροσωπείται από: Daniel Bosch (Διευθύνων Σύμβουλος), Philipp André Marschall (Πληρεξούσιος) E-mail: [email protected] Τηλέφωνο: +49 3322 50703301 Ώρες λειτουργίας: Δευτ.-Παρ., 09:00 - 17:00 – εφεξής καλούμενος «Εκτελών την Επεξεργασία» ή «Παροχέας» –

– ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία καλούνται εφεξής από κοινού «τα μέρη» –

Προοίμιο

Καλώς ήρθατε στην Campcruisers GmbH! Είμαστε πολύ χαρούμενοι που σας καλωσορίζουμε ως πελάτες μας. Η διαφάνεια, τα υψηλότερα πρότυπα ασφάλειας και η συνεργασία σε ισότιμη βάση αποτελούν για εμάς προτεραιότητα. Η προστασία των δεδομένων σας και των δεδομένων των επισκεπτών του ιστότοπού σας δεν αποτελεί για εμάς απλώς μια νομική υποχρέωση, αλλά μια κεντρική δέσμευση ποιότητας της εταιρείας μας.

Ο υπεύθυνος επεξεργασίας χρησιμοποιεί τη λύση «Biscotti CMP» (Consent Management Platform), μια λύση Software-as-a-Service (SaaS) βασισμένη στο cloud, η οποία αναπτύχθηκε, λειτουργεί και διατίθεται από τον εκτελούντα την επεξεργασία. Στο πλαίσιο της παροχής αυτών των υπηρεσιών SaaS, οι οποίες διατίθενται στον τομέα biscotti-cmp.com καθώς και στην εφαρμογή app.biscotti-cmp.com, ο εκτελών την επεξεργασία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό και σύμφωνα με τις οδηγίες του υπεύθυνου επεξεργασίας. Η παρούσα σύμβαση συγκεκριμενοποιεί τις υποχρεώσεις των μερών όσον αφορά την προστασία των δεδομένων, οι οποίες απορρέουν από τη χρήση του Biscotti CMP. Εφαρμόζεται σε όλες τις δραστηριότητες που σχετίζονται με την κύρια σύμβαση (σύμβαση χρήσης των υπηρεσιών SaaS) και στις οποίες οι εργαζόμενοι του Εκτελούντος την Επεξεργασία ή τρίτοι που έχουν ανατεθεί από αυτόν ενδέχεται να έρθουν σε επαφή με δεδομένα προσωπικού χαρακτήρα του Υπεύθυνου Επεξεργασίας.

Η παρούσα σύμβαση είναι απολύτως απαραίτητη για την εκπλήρωση των απαιτήσεων του Κανονισμού (ΕΕ) 2016/679 (Γενικός Κανονισμός για την Προστασία Δεδομένων – ΓΚΠΔ), ιδίως του άρθρου 28 του ΓΚΠΔ, καθώς και των συμπληρωματικών διατάξεων του Ομοσπονδιακού Νόμου περί Προστασίας Δεδομένων (BDSG) και του Νόμου περί Προστασίας Δεδομένων στις Τηλεπικοινωνίες και τις Ψηφιακές Υπηρεσίες (TDDDG).

[!ΣΗΜΕΙΩΣΗ] Σύναψη σύμβασης στο πλαίσιο του ηλεκτρονικού εμπορίου Η παρούσα σύμβαση συνάπτεται σε ηλεκτρονική μορφή σύμφωνα με το άρθρο 28 παράγραφος 9 του ΓΚΠΔ. Κατά την εγγραφή/εγγραφή από τον υπεύθυνο, αποτελεί αναπόσπαστο μέρος των Γενικών Όρων και Προϋποθέσεων (ΓΟΠ) της Biscotti CMP. Η σύναψη της σύμβασης πραγματοποιείται μέσω της ρητής ηλεκτρονικής συγκατάθεσης κατά τη διαδικασία εγγραφής (π.χ. κάνοντας κλικ σε ένα κουμπί επιβεβαίωσης) και δεν απαιτεί ξεχωριστή, ιδιόχειρη υπογραφή για την ισχύ και τη νομική της ισχύ.

§ 1 Αντικείμενο και διάρκεια της επεξεργασίας

1.1 Αντικείμενο της επεξεργασίας Ο εκτελών την επεξεργασία παρέχει στον υπεύθυνο επεξεργασίας υπηρεσίες στον τομέα της διαχείρισης συγκατάθεσης (Consent Management) και της αυτοματοποίησης της συμμόρφωσης με τη νομοθεσία περί προστασίας δεδομένων. Το αντικείμενο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα προκύπτει από την κύρια σύμβαση που έχει συναφθεί μεταξύ των μερών σχετικά με τη χρήση του Biscotti CMP. Η επεξεργασία περιλαμβάνει όλες τις διαδικασίες που σχετίζονται με τα δεδομένα και είναι απαραίτητες για την παροχή των λειτουργιών του λογισμικού που έχουν συμφωνηθεί συμβατικά. Σε αυτές περιλαμβάνονται ιδίως, αλλά όχι αποκλειστικά:

• Την παροχή και την προβολή banner συγκατάθεσης (cookie banners) στις ιστοσελίδες του υπεύθυνου επεξεργασίας.
• Την καταγραφή, αποθήκευση, διαχείριση και τεκμηρίωση των αποφάσεων συγκατάθεσης (συμφωνία / άρνηση) των τελικών χρηστών (επισκεπτών του ιστότοπου) του υπεύθυνου επεξεργασίας σύμφωνα με το άρθρο 7 παράγραφος 1 του ΓΚΠΔ και το άρθρο 25 παράγραφος 1 του TDDDG.
• Η διεξαγωγή σαρώσεων cookies με τη βοήθεια τεχνητής νοημοσύνης στους ιστότοπους του υπεύθυνου επεξεργασίας για την αναγνώριση και κατηγοριοποίηση των τεχνολογιών παρακολούθησης και τη σύγκρισή τους με τη βάση δεδομένων παρόχων του IAB.
• Η επεξεργασία σημάτων στο πλαίσιο του Google Consent Mode v2, του IAB Transparency & Consent Framework (TCF 2.4) καθώς και του Global Privacy Control (GPC).
• Ο προσδιορισμός της δικαιοδοσίας του επισκέπτη του ιστότοπου με βάση την IP για τη δυναμική προβολή παραλλαγών banner που συμμορφώνονται με τη νομοθεσία (π.χ. ΓΚΠΔ, CCPA/CPRA).
• Η δημιουργία νομικών κειμένων (εκτύπωση, δήλωση προστασίας δεδομένων, πολιτική cookies) με τη βοήθεια τεχνητής νοημοσύνης μέσω του ενσωματωμένου βοηθού Legal Suite με χρήση του Alibaba Cloud Qwen.
• Η παροχή πρωτοκόλλων ελέγχου (Audit-Logs), webhooks για ειδοποιήσεις σε πραγματικό χρόνο, λειτουργίες A/B testing καθώς και λειτουργίες εξαγωγής δεδομένων για την εκπλήρωση των δικαιωμάτων των ενδιαφερομένων σύμφωνα με το άρθρο 15 του GDPR.
• Η διαχείριση υπολογαριασμών πρακτορείων στο πλαίσιο του πακέτου «Agency», συμπεριλαμβανομένης της διαχείρισης πελατών και της επωνυμίας White Label.

1.2 Διάρκεια της επεξεργασίας Η διάρκεια της παρούσας σύμβασης επεξεργασίας δεδομένων εξαρτάται από τη διάρκεια της υποκείμενης κύριας σύμβασης σχετικά με τη χρήση του Biscotti CMP. Η σύμβαση τίθεται σε ισχύ με την εγγραφή του υπεύθυνου επεξεργασίας και την ενεργοποίηση του λογαριασμού (για δωρεάν πακέτα) ή με την επιβεβαίωση πληρωμής (για πακέτα επί πληρωμή όπως Starter, Growth, Business, Agency). Λήγει αυτόματα με τη λήξη της κύριας σύμβασης, ανεξάρτητα από το νομικό λόγο (π.χ. μέσω κανονικής καταγγελίας, έκτακτης καταγγελίας ή διαγραφής του λογαριασμού). Η προθεσμία καταγγελίας της κύριας σύμβασης είναι 1 ημέρα πριν από τη λήξη της εκάστοτε περιόδου χρέωσης. Οι διατάξεις της παρούσας σύμβασης που, λόγω της φύσης τους, πρέπει να ισχύουν και μετά τη λήξη της (ιδίως οι ρυθμίσεις σχετικά με τη διαγραφή και την επιστροφή δεδομένων καθώς και ζητήματα ευθύνης) δεν επηρεάζονται από τη λήξη.

§ 2 Είδος και σκοπός της επεξεργασίας

2.1 Είδος επεξεργασίας Το είδος της επεξεργασίας περιλαμβάνει τη συλλογή, καταγραφή, οργάνωση, ταξινόμηση, αποθήκευση, προσαρμογή ή τροποποίηση, ανάγνωση, αναζήτηση, χρήση, γνωστοποίηση μέσω διαβίβασης, διάδοσης ή άλλης μορφής διάθεσης, σύγκριση ή σύνδεση, περιορισμό, διαγραφή ή καταστροφή δεδομένων. Η επεξεργασία πραγματοποιείται κυρίως αυτοματοποιημένα στην υποδομή cloud του εκτελούντος την επεξεργασία (π.χ. φιλοξενείται στην πλατφόρμα Google Cloud, η τοποθεσία του διακομιστή είναι συνήθως η Ευρωπαϊκή Ένωση).

2.2 Σκοπός της επεξεργασίας Ο σκοπός της επεξεργασίας έγκειται αποκλειστικά στην εκπλήρωση των συμβατικών υποχρεώσεων που απορρέουν από την κύρια σύμβαση. Αυτό περιλαμβάνει:

• Αποδεικτικότητα της συγκατάθεσης: Αποθήκευση των δεδομένων συγκατάθεσης για την εκπλήρωση της υποχρέωσης λογοδοσίας του υπεύθυνου επεξεργασίας σύμφωνα με το άρθρο 5 παράγραφος 2 σε συνδυασμό με το άρθρο 7 παράγραφος 1 του ΓΚΠΔ.
• Τεχνική παροχή: Εμφάνιση του banner συγκατάθεσης και διασφάλιση της λειτουργικότητας του ιστότοπου του υπεύθυνου επεξεργασίας, λαμβάνοντας υπόψη τις προτιμήσεις των χρηστών.
• Ανάλυση συμμόρφωσης: Αυτοματοποιημένος έλεγχος των ιστοσελίδων του υπεύθυνου για κινδύνους σχετικά με την προστασία δεδομένων (Cookie-Scanner).
• Σύνταξη νομικών κειμένων: Επεξεργασία εταιρικών και στοιχείων επικοινωνίας του υπεύθυνου επεξεργασίας για τη δημιουργία εξατομικευμένων νομικών κειμένων με τη βοήθεια τεχνητής νοημοσύνης.
• Τιμολόγηση και διαχείριση λογαριασμών: Διαχείριση των λογαριασμών χρηστών, εκχώρηση ορίων συνεδριών (π.χ. 5.000 συνεδρίες στο πακέτο Free, 500.000 στο πακέτο Business) και διεκπεραίωση των μεταφορών συνεδριών.
• Διαχείριση πρακτορείου: Δυνατότητα διαχείρισης έως και 25 υπολογαριασμών στο πακέτο Agency, συμπεριλαμβανομένης της παροχής σελίδων μεταπωλητών και λειτουργιών αποστολής email.

Απαγορεύεται αυστηρά η επεξεργασία των δεδομένων για δικούς του σκοπούς του εκτελούντος την επεξεργασία, ιδίως για δικούς του διαφημιστικούς σκοπούς ή για τη δημιουργία προφίλ χρηστών, που υπερβαίνουν την παροχή των συμβατικών υπηρεσιών, εκτός εάν υπάρχει ρητή νομική άδεια ή ξεχωριστή συγκατάθεση.

§ 3 Είδος των δεδομένων προσωπικού χαρακτήρα

Στο πλαίσιο της επεξεργασίας ως εκτελούμενος, επεξεργάζονται οι ακόλουθες κατηγορίες δεδομένων προσωπικού χαρακτήρα. Ο υπεύθυνος καθορίζει ο ίδιος το ακριβές εύρος των δεδομένων μέσω της χρήσης του Biscotti CMP και της διαμόρφωσης του λογισμικού:

• Δεδομένα συγκατάθεσης: Αποφάσεις (συγκατάθεση / άρνηση για διάφορες κατηγορίες όπως Απαραίτητα, Λειτουργικά, Ανάλυση, Μάρκετινγκ, Υπηρεσίες ΤΝ), χρονική σήμανση (ημερομηνία και ακριβής ώρα της συγκατάθεσης), μοναδικός αριθμός αναγνώρισης (για την ψευδώνυμη αντιστοίχιση της απόφασης με την αντίστοιχη τερματική συσκευή/το πρόγραμμα περιήγησης).
• Τεχνικά δεδομένα: Διευθύνσεις IP (επεξεργάζονται κυρίως για την αναγνώριση της δικαιοδοσίας βάσει τοποθεσίας και, κατά κανόνα, ανωνυμοποιούνται/συντομεύονται αμέσως, εκτός εάν ο υπεύθυνος έχει ορίσει διαφορετική διαμόρφωση), πληροφορίες προγράμματος περιήγησης, πληροφορίες συσκευής, συμβολοσειρές User-Agent, δεδομένα συνεδρίας.
• Δεδομένα cookie και tracker: Αποτελέσματα σάρωσης των ιστοσελίδων του υπεύθυνου, συμπεριλαμβανομένων των cookie που εντοπίστηκαν, του περιεχομένου της τοπικής μνήμης, των tracker τρίτων παρόχων και της ταξινόμησής τους.
• Περιεχόμενο που δημιουργείται από τεχνητή νοημοσύνη: Δεδομένα που εισάγει ο υπεύθυνος στον βοηθό Legal Suite για τη δημιουργία νομικών κειμένων (δήλωση προστασίας δεδομένων, νομικές πληροφορίες, γενικοί όροι και προϋποθέσεις). Αυτό μπορεί να περιλαμβάνει εταιρικά δεδομένα, ονόματα εξουσιοδοτημένων εκπροσώπων, διευθύνσεις και συγκεκριμένες δραστηριότητες επεξεργασίας που υποβάλλονται σε επεξεργασία μέσω του Alibaba Cloud Model Studio (Qwen) API.
• Στοιχεία επικοινωνίας (κάτοχοι λογαριασμού): Όνομα και επώνυμο, διεύθυνση ηλεκτρονικού ταχυδρομείου, επωνυμία εταιρείας, διεύθυνση, αριθμός τηλεφώνου, αριθμός φορολογικού μητρώου (ΑΦΜ) των πελατών ή των κατόχων λογαριασμού.
• Δεδομένα χρήσης: δραστηριότητες πίνακα ελέγχου, στατιστικά στοιχεία banner (προβολές, αλληλεπιδράσεις, ποσοστά αποδοχής), εκθέσεις συμμόρφωσης, αρχεία καταγραφής ελέγχου σχετικά με αλλαγές λογαριασμού.
• Δεδομένα πληρωμών: Πληροφορίες χρέωσης που υποβάλλονται σε επεξεργασία μέσω του παρόχου υπηρεσιών πληρωμών Stripe (όπου τα δεδομένα πιστωτικών καρτών κωδικοποιούνται απευθείας στο Stripe και δεν αποθηκεύονται σε μορφή απλού κειμένου στον εκτελούντα την επεξεργασία).

§ 4 Κατηγορίες υποκειμένων των δεδομένων

Η επεξεργασία αφορά τις ακόλουθες κατηγορίες υποκειμένων δεδομένων:

• Επισκέπτες του ιστότοπου (τελικοί χρήστες): Φυσικά πρόσωπα που επισκέπτονται τους ιστότοπους του υπεύθυνου επεξεργασίας και των οποίων οι αποφάσεις συγκατάθεσης ζητούνται, επεξεργάζονται και αποθηκεύονται μέσω του banner Biscotti CMP.
• Πελάτες (κάτοχοι λογαριασμού): Φυσικά πρόσωπα, ατομικές επιχειρήσεις ή εκπρόσωποι νομικών προσώπων που έχουν δημιουργήσει λογαριασμό στο Biscotti CMP ως συμβατικοί εταίροι του εκτελούντος την επεξεργασία.
• Μέλη της ομάδας και υπάλληλοι: Πρόσωπα που έχουν προσκληθεί από τον κάτοχο λογαριασμού (υπεύθυνο επεξεργασίας) ως πρόσθετοι χρήστες στο ταμπλό του Biscotti CMP για τη διαχείριση του συστήματος.
• Πελάτες πρακτορείων (κάτοχοι υπολογαριασμών): Τελικοί πελάτες πρακτορείων που χρησιμοποιούν το πακέτο «Agency» και για τους οποίους έχουν δημιουργηθεί υπολογαριασμοί.

§ 5 Υποχρεώσεις και δικαιώματα του υπεύθυνου

5.1 Νομιμότητα της επεξεργασίας Ο υπεύθυνος είναι ο μόνος αρμόδιος για την αξιολόγηση της νομιμότητας της ανατεθείσας επεξεργασίας καθώς και για την προάσπιση των δικαιωμάτων των υποκειμένων των δεδομένων (άρθρο 4 αριθ. 7 ΓΚΠΔ). Ο υπεύθυνος διασφαλίζει ότι υπάρχει αποτελεσματική νομική βάση (π.χ. συγκατάθεση σύμφωνα με το άρθρο 6 παράγραφος 1 στοιχείο α) του ΓΚΠΔ ή έννομο συμφέρον σύμφωνα με το άρθρο 6 παράγραφος 1 στοιχείο στ) του ΓΚΠΔ) για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα από τον εκτελούντα την επεξεργασία. Αυτό ισχύει ιδίως για τη χρήση του Biscotti CMP για τη συλλογή συγκαταθέσεων σύμφωνα με το § 25 παρ. 1 TDDDG.

5.2 Υποχρεώσεις ενημέρωσης Ο υπεύθυνος επεξεργασίας φέρει την πλήρη ευθύνη να ενημερώνει τα υποκείμενα των δεδομένων (ιδίως τους επισκέπτες του ιστότοπου) σχετικά με την επεξεργασία των δεδομένων με διαφάνεια, ακρίβεια και εγκαίρως, σύμφωνα με τα άρθρα 13 και 14 του ΓΚΠΔ. Ο εκτελών την επεξεργασία παρέχει στον υπεύθυνο επεξεργασίας τις απαραίτητες τεχνικές πληροφορίες σχετικά με τη λειτουργία του Biscotti CMP, καθώς και πρότυπα κειμένων μέσω του Legal Suite Assistant. Η νομική εξέταση και η ενσωμάτωση της δήλωσης προστασίας δεδομένων εναπόκειται στον υπεύθυνο επεξεργασίας.

5.3 Χρήση από πρακτορεία και μεταπωλητές Εάν ο υπεύθυνος επεξεργασίας χρησιμοποιεί το πακέτο «Agency» και δημιουργεί υπολογαριασμούς για τους δικούς του πελάτες, ο υπεύθυνος επεξεργασίας παραμένει ο μοναδικός συμβαλλόμενος και υπεύθυνος επεξεργασίας δεδομένων σε σχέση με τον εκτελούντα την επεξεργασία. Ο υπεύθυνος εγγυάται ότι διαθέτει τις απαραίτητες συμβατικές συμφωνίες (συμπεριλαμβανομένων των δικών του συμβάσεων επεξεργασίας δεδομένων) με τους τελικούς πελάτες του. Εάν ο υπεύθυνος δημιουργήσει μια ιστοσελίδα μεταπωλητή ή χρησιμοποιεί δικούς του διακομιστές ηλεκτρονικού ταχυδρομείου υπό δικό του domain, φέρει την αποκλειστική ευθύνη σύμφωνα με τη νομοθεσία περί προστασίας δεδομένων και τον ανταγωνισμό για την εν λόγω υποδομή. Ο εκτελών την επεξεργασία δεν αναλαμβάνει καμία ευθύνη για αυτό.

5.4 Αναφορά σφαλμάτων Ο υπεύθυνος πρέπει να ενημερώνει τον εκτελούντα την επεξεργασία αμέσως και πλήρως, εάν κατά τον έλεγχο των αποτελεσμάτων της ανάθεσης διαπιστώσει σφάλματα ή παρατυπίες όσον αφορά τις διατάξεις περί προστασίας δεδομένων.

§ 6 Δικαίωμα παροχής οδηγιών του υπεύθυνου επεξεργασίας

6.1 Είδος και έκταση των οδηγιών Ο εκτελών την επεξεργασία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα αποκλειστικά βάσει τεκμηριωμένων οδηγιών του υπεύθυνου επεξεργασίας, εκτός εάν υποχρεούται να το πράξει από το δίκαιο της Ένωσης ή των κρατών μελών στο οποίο υπόκειται (άρθρο 28 παράγραφος 3 στοιχείο α) του ΓΚΠΔ). Σε μια τέτοια περίπτωση, ο εκτελών την επεξεργασία γνωστοποιεί στον υπεύθυνο την εν λόγω νομική απαίτηση πριν από την επεξεργασία, εκτός εάν το σχετικό δίκαιο απαγορεύει μια τέτοια γνωστοποίηση λόγω σημαντικού δημόσιου συμφέροντος.

Η κύρια σύμβαση καθώς και οι παρόντες ΓΟΠ αποτελούν την αρχική τεκμηριωμένη οδηγία. Η χρήση των λειτουργιών του Biscotti CMP (π.χ. διαμόρφωση του banner, έναρξη σάρωσης, δημιουργία κειμένων) από τον υπεύθυνο επεξεργασίας στον πίνακα ελέγχου θεωρείται τεκμηριωμένη μεμονωμένη οδηγία.

6.2 Μορφή των οδηγιών Οι οδηγίες μπορούν κανόνας να δίνονται μέσω της διεπαφής χρήστη του λογισμικού (εφαρμογή). Οδηγίες που υπερβαίνουν αυτό το πλαίσιο πρέπει να δίνονται σε γραπτή μορφή (π.χ. μέσω email στη διεύθυνση [email protected]). Οι προφορικές οδηγίες πρέπει να επιβεβαιώνονται αμέσως από τον υπεύθυνο επεξεργασίας σε γραπτή μορφή.

6.3 Ενστάσεις κατά των οδηγιών Ο εκτελών την επεξεργασία ενημερώνει αμέσως τον υπεύθυνο εάν θεωρεί ότι μια οδηγία παραβιάζει τον ΓΚΠΔ, τον BDSG ή άλλες διατάξεις περί προστασίας δεδομένων της Ένωσης ή των κρατών μελών. Ο εκτελών την επεξεργασία έχει το δικαίωμα να αναστείλει την εκτέλεση της αντίστοιχης οδηγίας έως ότου αυτή επιβεβαιωθεί ή τροποποιηθεί από τον υπεύθυνο. Ο εκτελών την επεξεργασία δικαιούται να αρνηθεί την εκτέλεση οδηγιών που είναι προφανώς παράνομες.

§ 7 Υποχρέωση εμπιστευτικότητας

7.1 Υποχρέωση των εργαζομένων Ο εκτελών την επεξεργασία βεβαιώνει ότι έχει υποχρεώσει όλα τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα του υπεύθυνου επεξεργασίας (υπάλληλοι, ελεύθεροι επαγγελματίες, όργανα) να τηρούν εμπιστευτικότητα πριν από την έναρξη της δραστηριότητας (άρθρο 28 παράγραφος 3 στοιχείο β) του ΓΚΠΔ) ή ότι αυτά υπόκεινται σε κατάλληλη νομική υποχρέωση εμπιστευτικότητας. Η υποχρέωση αυτή περιλαμβάνει επίσης το απόρρητο των δεδομένων και παραμένει σε ισχύ ακόμη και μετά τη λήξη της δραστηριότητας ή της σχέσης εργασίας.

7.2 Εκπαίδευση και ευαισθητοποίηση Ο εκτελών την επεξεργασία διασφαλίζει ότι τα πρόσωπα που είναι εξουσιοδοτημένα για την επεξεργασία ενημερώνονται και ευαισθητοποιούνται τακτικά σχετικά με τις διατάξεις περί προστασίας δεδομένων (ΓΚΠΔ, BDSG) και την ασφάλεια των δεδομένων. Ο εκτελών την επεξεργασία, εκπροσωπούμενος από τη διεύθυνση (Daniel Bosch, Philipp André Marschall), μεριμνά για μια εταιρική κουλτούρα σύμφωνη με την προστασία δεδομένων.

7.3 Υπεύθυνος προστασίας δεδομένων Ο εκτελών την επεξεργασία έχει ορίσει έναν εξειδικευμένο και αξιόπιστο υπεύθυνο προστασίας δεδομένων, εφόσον αυτό απαιτείται από το νόμο σύμφωνα με το § 38 παρ. 1 BDSG ή το άρθρο 37 του ΓΚΠΔ (π.χ. όταν υπάρχουν συνήθως τουλάχιστον 20 άτομα που ασχολούνται μόνιμα με την αυτοματοποιημένη επεξεργασία).

Εάν δεν υπάρχει νομική υποχρέωση διορισμού, ο εκτελών την επεξεργασία διασφαλίζει, ωστόσο, ότι οι υποχρεώσεις περί προστασίας δεδομένων παρακολουθούνται πλήρως και τηρούνται από τη διεύθυνση.

§ 8 Τεχνικά και οργανωτικά μέτρα (TOMs) σύμφωνα με το άρθρο 32 του ΓΚΠΔ

8.1 Αρχή της ασφάλειας της επεξεργασίας Ο εκτελών την επεξεργασία δηλώνει δεσμευτικά ότι, λαμβάνοντας υπόψη το επίπεδο της τεχνολογίας, το κόστος εφαρμογής και τη φύση, την έκταση, των περιστάσεων και των σκοπών της επεξεργασίας, καθώς και της διαφορετικής πιθανότητας εμφάνισης και σοβαρότητας του κινδύνου για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, έχει λάβει κατάλληλα τεχνικά και οργανωτικά μέτρα (TOMs) προκειμένου να διασφαλίσει επίπεδο προστασίας κατάλληλο για τον κίνδυνο (άρθρο 32 ΓΚΠΔ). Τα μέτρα αυτά βασίζονται σε αναγνωρισμένα πρότυπα ασφάλειας πληροφορικής (όπως τα ISO 27001 και SOC 2).

8.2 Συγκεκριμένα μέτρα Ο εκτελών την επεξεργασία εφαρμόζει ιδίως τα ακόλουθα μέτρα και τα διατηρεί καθ' όλη τη διάρκεια της σύμβασης:

α) Ψευδωνυμοποίηση και κρυπτογράφηση (άρθρο 32 παράγραφος 1 στοιχείο α) του ΓΚΠΔ)

• Κρυπτογράφηση κατά τη μεταφορά: Όλες οι μεταφορές δεδομένων μεταξύ του τελικού χρήστη, του υπεύθυνου επεξεργασίας και της υποδομής της Biscotti CMP πραγματοποιούνται υποχρεωτικά μέσω των πιο σύγχρονων πρωτοκόλλων κρυπτογράφησης (TLS 1.2 ή TLS 1.3).
• Κρυπτογράφηση σε κατάσταση ηρεμίας: Όλες οι βάσεις δεδομένων και τα μέσα αποθήκευσης στην πλατφόρμα Google Cloud (τοποθεσία διακομιστή NL) είναι κρυπτογραφημένα σε επίπεδο σκληρού δίσκου (AES-256).
• Ψευδωνυμοποίηση: Οι αποφάσεις συγκατάθεσης δεν συνδέονται με πραγματικά ονόματα, αλλά με έναν τυχαία δημιουργημένο κρυπτογραφικό αριθμό αναγνώρισης. Οι διευθύνσεις IP συντομεύονται/ανωνυμοποιούνται από προεπιλογή, μόλις ολοκληρωθεί η αντιστοίχιση βάσει τοποθεσίας.

β) Εμπιστευτικότητα (έλεγχος πρόσβασης και πρόσβασης)

• Έλεγχος πρόσβασης: Η φυσική ασφάλεια των διακομιστών που χρησιμοποιούνται διασφαλίζεται από τον εξωτερικό πάροχο υπηρεσιών υποδομής (π.χ. Google Cloud). Τα κέντρα δεδομένων υπόκεινται σε αυστηρούς ελέγχους πρόσβασης και ασφάλειας, σύμφωνα με τα πρότυπα του κλάδου. Οι εγκαταστάσεις της Campcruisers GmbH προστατεύονται με κατάλληλους φυσικούς περιορισμούς πρόσβασης (π.χ. κλειδαριές ασφαλείας).
• Έλεγχος πρόσβασης: Η πρόσβαση στα συστήματα πληροφορικής του εκτελούντος την επεξεργασία διασφαλίζεται μέσω αυστηρών οδηγιών για τους κωδικούς πρόσβασης, της πολυπαραγοντικής ταυτοποίησης (MFA) για τις σχετικές διοικητικές προσβάσεις, καθώς και των χρονικών ορίων σύνδεσης. Χρησιμοποιούνται συστήματα όπως το Cloudflare Turnstile για την προστασία των προσπαθειών σύνδεσης από επιθέσεις bot.
• Έλεγχος πρόσβασης: Ισχύει η αρχή της ελάχιστης εκχώρησης δικαιωμάτων (Role-Based Access Control - RBAC). Οι υπάλληλοι του εκτελούντος την επεξεργασία έχουν πρόσβαση μόνο στα δεδομένα που είναι απολύτως απαραίτητα για την εκάστοτε εργασία τους. Τα δεδομένα πελατών των διαφόρων πακέτων τιμολόγησης είναι λογικά διαχωρισμένα μεταξύ τους (δυνατότητα πολλαπλών πελατών).

γ) Ακεραιότητα (έλεγχος διαβίβασης, εισαγωγής και διαχωρισμού)

• Έλεγχος διαβίβασης: Τα δεδομένα δεν μεταφέρονται σε φυσικούς φορείς δεδομένων. Η διαβίβαση πραγματοποιείται αποκλειστικά μέσω ασφαλών δικτύων.
• Έλεγχος εισαγωγής: Το Biscotti CMP διαθέτει ένα ολοκληρωμένο αρχείο καταγραφής ελέγχου (Audit-Log). Είναι δυνατό να εντοπιστεί ανά πάσα στιγμή ποιος χρήστης (πελάτης, μέλος ομάδας, πρακτορείο) πραγματοποίησε ποιες αλλαγές στο ταμπλό (π.χ. αλλαγή κειμένων banner, προσαρμογή κατηγοριών cookie) και σε ποια χρονική στιγμή.
• Έλεγχος διαχωρισμού: Τα δεδομένα που συλλέγονται για διαφορετικούς σκοπούς υποβάλλονται σε ξεχωριστή επεξεργασία. Τα περιβάλλοντα παραγωγής, δοκιμών και ανάπτυξης είναι αυστηρά διαχωρισμένα μεταξύ τους.

δ) Διαθεσιμότητα και ανθεκτικότητα (άρθρο 32 παράγραφος 1 στοιχεία β) και γ) του ΓΚΠΔ)

• Διαθεσιμότητα: Ο εκτελών την επεξεργασία λαμβάνει τα συνήθη στον κλάδο, κατάλληλα μέτρα για τη διασφάλιση της διαθεσιμότητας των συστημάτων (φιλοξενία στην πλατφόρμα Google Cloud). Ωστόσο, δεν εγγυάται ρητά διαθεσιμότητα SLA και δεν υπάρχει πλήρης εφεδρεία της υποδομής.
• Ανθεκτικότητα: Η αρχιτεκτονική του συστήματος έχει σχεδιαστεί έτσι ώστε ο αναμενόμενος όγκος συνεδριών να επεξεργάζεται κανονικά με αξιοπιστία. Ωστόσο, δεν χρησιμοποιούνται ειδικά συστήματα εξισορρόπησης φορτίου ή μηχανισμοί αυτόματης κλιμάκωσης (Auto-Scaling).
• Δυνατότητα αποκατάστασης: Ο εκτελών την επεξεργασία λαμβάνει τα κατάλληλα μέτρα (π.χ. τακτικά αντίγραφα ασφαλείας των βάσεων δεδομένων) για να καταστεί δυνατή η αποκατάσταση των δεδομένων σε περίπτωση τεχνικού συμβάντος. Ωστόσο, δεν παρέχεται εγγύηση για αποκατάσταση χωρίς απώλειες, γι' αυτό καλείται ο υπεύθυνος επεξεργασίας να χρησιμοποιεί με δική του ευθύνη τις λειτουργίες εξαγωγής που έχει στη διάθεσή του.

ε) Διαδικασίες τακτικής επανεξέτασης (άρθρο 32 παράγραφος 1 στοιχείο δ) του ΓΚΠΔ)

• Ο εκτελών την επεξεργασία ελέγχει τακτικά εσωτερικά την αποτελεσματικότητα των τεχνικών και οργανωτικών μέτρων που έχουν ληφθεί.
• Υπάρχουν εσωτερικές διαδικασίες αντιμετώπισης περιστατικών ασφαλείας (Incident-Response), προκειμένου να αντιμετωπίζονται ενδεχόμενα περιστατικά στο πλαίσιο του νόμου.
• Τα TOM υπόκεινται σε διαδικασία συνεχούς βελτίωσης.

8.3 Προσαρμογή των τεχνικών και οργανωτικών μέτρων Τα τεχνικά και οργανωτικά μέτρα υπόκεινται στην τεχνολογική πρόοδο και την περαιτέρω ανάπτυξη. Ο εκτελών την επεξεργασία έχει το δικαίωμα να εφαρμόζει εναλλακτικά επαρκή μέτρα, υπό την προϋπόθεση ότι το επίπεδο ασφάλειας δεν υπολείπεται του επιπέδου των καθορισμένων μέτρων. Οι ουσιώδεις αλλαγές πρέπει να κοινοποιούνται στον υπεύθυνο επεξεργασίας γραπτώς.

§ 9 Υπεργολάβοι επεξεργασίας

9.1 Ανάθεση σε υποεκτελούντες επεξεργαστές Ο υπεύθυνος παρέχει με το παρόν στον εκτελούντα επεξεργαστή τη γενική γραπτή έγκριση (άρθρο 28 παράγραφος 2 του ΓΚΠΔ) να προσλαμβάνει περαιτέρω εκτελούντες επεξεργαστές (υποεκτελούντες επεξεργαστές). Ο εκτελών την επεξεργασία διασφαλίζει ότι επιλέγει προσεκτικά τους υποεκτελούντες την επεξεργασία και τους υποβάλλει συμβατικά στις ίδιες υποχρεώσεις προστασίας δεδομένων που ορίζονται στην παρούσα σύμβαση (άρθρο 28 παράγραφος 4 του ΓΚΠΔ).

9.2 Επί του παρόντος εγκεκριμένοι υπο-εκτελούντες Κατά τη σύναψη της σύμβασης, οι ακόλουθοι υπο-εκτελούντες δραστηριοποιούνται για την παροχή των υπηρεσιών της Biscotti CMP και θεωρούνται εγκεκριμένοι από τον υπεύθυνο επεξεργασίας. Ο εκτελών την επεξεργασία έχει διασφαλίσει ότι, στην περίπτωση παρόχων από τις ΗΠΑ, η αντίστοιχη θυγατρική στην ΕΕ λειτουργεί ως συμβατικός εταίρος, προκειμένου να διαφυλάσσεται το επίπεδο προστασίας δεδομένων της ΕΕ:

9.3 Διαβίβαση σε τρίτες χώρες Σε περίπτωση επεξεργασίας από υπο-εκτελούντες εκτός της Ευρωπαϊκής Ένωσης (ΕΕ) ή του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ) (π.χ. στην περίπτωση της Resend), ο εκτελών εξασφαλίζει ότι πληρούνται οι ειδικές προϋποθέσεις των άρθρων 44 και επόμενων του ΓΚΠΔ. Αυτό γίνεται συνήθως με τη σύναψη των τρέχουσων τυποποιημένων συμβατικών ρητρών (SCC) της Ευρωπαϊκής Επιτροπής σε συνδυασμό με μια εκτίμηση επιπτώσεων της διαβίβασης (Transfer Impact Assessment) και την εφαρμογή πρόσθετων τεχνικών μέτρων (π.χ. κρυπτογράφηση).

9.4 Αλλαγή ή προσθήκη νέων υποεκτελεστών Ο εκτελεστής θα ενημερώνει τον υπεύθυνο για κάθε προτεινόμενη αλλαγή σχετικά με την προσθήκη ή την αντικατάσταση υποεκτελεστών. Η ενημέρωση γίνεται γραπτώς (π.χ. μέσω ηλεκτρονικού ταχυδρομείου στη διεύθυνση που έχει καταχωρηθεί στον λογαριασμό) τουλάχιστον 30 ημέρες πριν από την προγραμματισμένη αλλαγή. Ο υπεύθυνος επεξεργασίας μπορεί να αντιταχθεί στην αλλαγή για σοβαρό λόγο που σχετίζεται με την προστασία των δεδομένων εντός 14 ημερών από την παραλαβή της ειδοποίησης. Εάν δεν υπάρξει αντίρρηση, η αλλαγή θεωρείται εγκεκριμένη. Σε περίπτωση δικαιολογημένης αντίρρησης, την οποία ο εκτελών την επεξεργασία δεν μπορεί να εξαλείψει με εύλογα μέτρα, ο υπεύθυνος επεξεργασίας δικαιούται να καταγγείλει έκτακτα την κύρια σύμβαση κατά τη στιγμή της έναρξης ισχύος της αλλαγής.

§ 10 Υποστήριξη όσον αφορά τα δικαιώματα των υποκειμένων των δεδομένων

10.1 Υποχρέωση υποστήριξης Ο εκτελών την επεξεργασία υποστηρίζει τον υπεύθυνο, στο μέτρο του δυνατού, με κατάλληλα τεχνικά και οργανωτικά μέτρα, ώστε να εκπληρώσει την υποχρέωσή του να απαντά σε αιτήματα για την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων που αναφέρονται στο Κεφάλαιο III του ΓΚΠΔ (άρθρα 15 έως 22 ΓΚΠΔ) (άρθρο 28 παράγραφος 3 στοιχείο ε) ΓΚΠΔ).

10.2 Τεχνική υλοποίηση στο Biscotti CMP Το Biscotti CMP έχει ως στόχο να υποστηρίξει τεχνικά τον υπεύθυνο κατά την εκπλήρωση των υποχρεώσεών του:

• Δικαίωμα πρόσβασης (άρθρο 15 ΓΚΠΔ) & δικαίωμα στη φορητότητα των δεδομένων (άρθρο 20 ΓΚΠΔ): Το λογισμικό προσφέρει δυνατότητες εξαγωγής δεδομένων (π.χ. ως CSV) ή, εναλλακτικά, μπορεί να ζητηθεί από την υποστήριξη η εξαγωγή συγκεκριμένων αναγνωριστικών συγκατάθεσης σύμφωνα με τους κανόνες προστασίας δεδομένων.
• Δικαίωμα ανάκλησης (άρθρο 7 παράγραφος 3 του ΓΚΠΔ): Το banner συγκατάθεσης του Biscotti CMP προσφέρει στους τελικούς χρήστες τη δυνατότητα να προσπελάσουν τις ρυθμίσεις που έχουν ορίσει και να τις ανακαλέσουν ανά πάσα στιγμή.
• Δικαίωμα διαγραφής (άρθρο 17 του ΓΚΠΔ): Τα δεδομένα που έχουν συλλεχθεί μπορούν να διαγραφούν από τον υπεύθυνο επεξεργασίας μέσω των λειτουργιών που παρέχονται στον πίνακα ελέγχου ή να ζητηθεί η διαγραφή τους από την υποστήριξη, με αποδεικτικά στοιχεία.

10.3 Διαβίβαση αιτημάτων Εάν ένα υποκείμενο των δεδομένων ασκήσει τα δικαιώματά του απευθείας έναντι του εκτελούντος την επεξεργασία, αυτός δεν θα απαντήσει στο αίτημα αυτόνομα, αλλά θα παραπέμψει αμέσως το υποκείμενο των δεδομένων στον υπεύθυνο επεξεργασίας, εφόσον είναι δυνατή η αντιστοίχιση με τον υπεύθυνο επεξεργασίας βάσει των διαθέσιμων δεδομένων. Ο εκτελών την επεξεργασία διαβιβάζει αμέσως το αίτημα στον υπεύθυνο επεξεργασίας.

§ 11 Υποστήριξη στην εκτίμηση επιπτώσεων στην προστασία των δεδομένων (DSFA) και στις υποχρεώσεις γνωστοποίησης

11.1 Εκτίμηση επιπτώσεων στην προστασία των δεδομένων (άρθρο 35 ΓΚΠΔ) Ο εκτελών την επεξεργασία υποστηρίζει τον υπεύθυνο επεξεργασίας, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που έχει στη διάθεσή του, κατά τη διενέργεια εκτίμησης επιπτώσεων στην προστασία των δεδομένων (DSFA) σύμφωνα με το άρθρο 35 του ΓΚΠΔ, καθώς και κατά την ενδεχόμενη απαραίτητη προηγούμενη διαβούλευση με την εποπτική αρχή (άρθρο 36 του ΓΚΠΔ).

11.2 Αναφορά παραβιάσεων της προστασίας των δεδομένων προσωπικού χαρακτήρα Ο εκτελών την επεξεργασία υποχρεούται να αναφέρει στον υπεύθυνο κάθε παραβίαση της προστασίας των δεδομένων προσωπικού χαρακτήρα (παραβίαση δεδομένων) που αφορά τα δεδομένα που υποβάλλονται σε επεξεργασία στο πλαίσιο της εντολής, αμέσως, το αργότερο όμως εντός 48 ωρών από τη λήψη γνώσης, σε γραπτή μορφή.

§ 12 Διαγραφή και επιστροφή δεδομένων

12.1 Διαγραφή μετά τη λήξη της σύμβασης Μετά την ολοκλήρωση της παροχής των υπηρεσιών επεξεργασίας (λήξη της κύριας σύμβασης), ο εκτελών την επεξεργασία υποχρεούται, κατά την επιλογή του υπεύθυνου επεξεργασίας, είτε να διαγράψει είτε να επιστρέψει όλα τα δεδομένα προσωπικού χαρακτήρα, εκτός εάν υφίσταται υποχρέωση αποθήκευσης των δεδομένων προσωπικού χαρακτήρα σύμφωνα με το δίκαιο της Ένωσης ή το δίκαιο των κρατών μελών (π.χ. υποχρεώσεις διατήρησης σύμφωνα με το εμπορικό και φορολογικό δίκαιο βάσει του HGB και του AO).

12.2 Τυπική διαδικασία της Biscotti CMP Εφόσον ο υπεύθυνος επεξεργασίας δεν δώσει διαφορετική οδηγία, ισχύει η ακόλουθη τυπική διαδικασία: Ο υπεύθυνος επεξεργασίας έχει τη δυνατότητα να δημιουργήσει αντίγραφο ασφαλείας των δεδομένων του πριν από τη λήξη της σύμβασης μέσω της λειτουργίας εξαγωγής (CSV). Μετά την έναρξη ισχύος της καταγγελίας και τη λήξη της περιόδου χρέωσης, ο λογαριασμός του υπεύθυνου επεξεργασίας απενεργοποιείται. Τα προσωπικά δεδομένα που είναι αποθηκευμένα στον λογαριασμό διατηρούνται για μια μεταβατική περίοδο 30 ημερών (περίοδος διατήρησης), προκειμένου να είναι δυνατή η επαναφορά τους σε περίπτωση ακούσιας υποβάθμισης. Μετά τη λήξη αυτών των 30 ημερών, τα δεδομένα διαγράφονται αμετάκλητα και σύμφωνα με τους κανόνες προστασίας δεδομένων από τα παραγωγικά συστήματα.

12.3 Επιβεβαίωση της διαγραφής Ο εκτελών την επεξεργασία επιβεβαιώνει στον υπεύθυνο, κατόπιν ρητού αιτήματός του, τη διαγραφή των δεδομένων σύμφωνα με τους κανόνες προστασίας δεδομένων, σε γραπτή μορφή.

§ 13 Δικαιώματα ελέγχου και επιθεωρήσεις

13.1 Δικαίωμα ελέγχου Ο εκτελών την επεξεργασία παρέχει στον υπεύθυνο επεξεργασίας όλες τις απαραίτητες πληροφορίες για να αποδείξει τη συμμόρφωση με τις υποχρεώσεις που ορίζονται στο άρθρο 28 του ΓΚΠΔ και στην παρούσα σύμβαση. Επιτρέπει ελέγχους – συμπεριλαμβανομένων επιθεωρήσεων – που διενεργούνται από τον υπεύθυνο επεξεργασίας ή από ελεγκτή που έχει οριστεί από αυτόν και ο οποίος δεσμεύεται από υποχρέωση εχεμύθειας, και συμβάλλει σε αυτούς.

13.2 Διεξαγωγή ελέγχων Προκειμένου να μην τεθεί σε κίνδυνο η ασφάλεια των κέντρων δεδομένων και η εμπιστευτικότητα των δεδομένων άλλων πελατών (διαχωρισμός πελατών), τα μέρη συμφωνούν στην ακόλουθη διαδικασία για τους ελέγχους:

• Ο υπεύθυνος θα ασκεί το δικαίωμα ελέγχου του κυρίως μέσω της απαίτησης και της αξιολόγησης αξιόπιστων πιστοποιητικών (π.χ. ISO 27001) ή μέσω λεπτομερών ερωτηματολογίων σχετικά με την ασφάλεια των πληροφοριών.
• Εάν αυτές οι πληροφορίες δεν είναι επαρκείς, ο υπεύθυνος έχει το δικαίωμα να διενεργήσει επιτόπια επιθεώρηση στα γραφεία της Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• Οι επιτόπιες επιθεωρήσεις πρέπει να ανακοινώνονται με εύλογη προθεσμία (κατά κανόνα τουλάχιστον 14 ημέρες).

§ 14 Ευθύνη και αποζημίωση

14.1 Εξωτερικές σχέσεις (έναντι των ενδιαφερομένων προσώπων) Ο υπεύθυνος και ο εκτελών την επεξεργασία ευθύνονται για την αποκατάσταση ζημιών έναντι του ενδιαφερόμενου προσώπου σύμφωνα με το άρθρο 82 του ΓΚΠΔ. Ο εκτελών την επεξεργασία ευθύνεται για τη ζημία που προκύπτει από την επεξεργασία μόνο εάν δεν έχει εκπληρώσει τις υποχρεώσεις του που απορρέουν από τον ΓΚΠΔ ή έχει ενεργήσει κατά παράβαση των νόμιμα δοθεισών οδηγιών του υπεύθυνου.

14.2 Εσωτερική σχέση (μεταξύ των μερών) Στην εσωτερική σχέση, τα μέρη απαλλάσσονται από την ευθύνη, εάν ένα μέρος αποδείξει ότι δεν ευθύνεται σε καμία περίπτωση για την περίσταση που προκάλεσε τη ζημία.

14.3 Περιορισμός ευθύνης από την κύρια σύμβαση Συμπληρωματικά ισχύουν οι ρυθμίσεις ευθύνης της κύριας σύμβασης (Γενικοί Όροι). Η ευθύνη για ελαφρά αμέλεια αποκλείεται, εκτός εάν πρόκειται για παραβίαση ουσιωδών συμβατικών υποχρεώσεων (βασικών υποχρεώσεων). Σε αυτή την περίπτωση, η ευθύνη περιορίζεται στη συνήθη για τη σύμβαση, προβλέψιμη ζημία.

§ 15 Τελικές διατάξεις

15.1 Γραπτή μορφή και τροποποιήσεις Οι τροποποιήσεις και οι συμπληρώσεις της παρούσας σύμβασης απαιτούν γραπτή μορφή (π.χ. ηλεκτρονικό ταχυδρομείο). Ο Εκτελών την Επεξεργασία διατηρεί το δικαίωμα να τροποποιήσει την παρούσα σύμβαση, προκειμένου να την προσαρμόσει σε μεταβαλλόμενες νομικές συνθήκες ή τεχνικές εξελίξεις. Ο Υπεύθυνος ενημερώνεται για τις τροποποιήσεις μέσω ηλεκτρονικού ταχυδρομείου.

15.2 Ιεράρχηση Σε περίπτωση που μεμονωμένες διατάξεις της παρούσας σύμβασης επεξεργασίας δεδομένων έρχονται σε αντίθεση με τις διατάξεις της κύριας σύμβασης (Γενικοί Όροι και Προϋποθέσεις), υπερισχύουν οι διατάξεις της παρούσας σύμβασης επεξεργασίας δεδομένων όσον αφορά την προστασία και την ασφάλεια των δεδομένων.

15.3 Ρήτρα αποσύνδεσης Σε περίπτωση που μεμονωμένες διατάξεις της παρούσας σύμβασης είναι ή καταστούν άκυρες ή ανεφάρμοστες, αυτό δεν επηρεάζει την ισχύ των υπόλοιπων διατάξεων. Τα μέρη δεσμεύονται να αντικαταστήσουν την άκυρη ή ανεφάρμοστη διάταξη με μια έγκυρη και εφαρμόσιμη διάταξη.

15.4 Εφαρμοστέο δίκαιο και δικαιοδοσία Η παρούσα σύμβαση διέπεται αποκλειστικά από το δίκαιο της Ομοσπονδιακής Δημοκρατίας της Γερμανίας, με εξαίρεση τη Σύμβαση των Ηνωμένων Εθνών για τις διεθνείς πωλήσεις εμπορευμάτων. Αποκλειστική δικαιοδοσία για όλες τις διαφορές που προκύπτουν από ή σε σχέση με την παρούσα σύμβαση είναι, στο μέτρο που επιτρέπεται από το νόμο, η έδρα του εκτελούντος την επεξεργασία (Falkensee). Η γλώσσα της σύμβασης είναι η γερμανική.