Adatfeldolgozási Megállapodás

Adatfeldolgozási megállapodás (AFM) az Általános adatvédelmi rendelet (GDPR) 28. cikke szerint

Állapot: 2026.03.20.

A

a Biscotti CMP regisztrált ügyfele – a továbbiakban „adatkezelő” vagy „ügyfél” –

és a

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Német Szövetségi Köztársaság

Cégjegyzéki bíróság: Potsdami Kerületi Bíróság Cégjegyzéki szám: HRB 40180 P ÁFA-szám: DE368000447 Adószám: 29/249/36095 Képviseli: Daniel Bosch (vezérigazgató), Philipp André Marschall (prokurátor) E-mail: [email protected] Telefon: +49 3322 50703301 Üzleti órák: H-P, 09:00 - 17:00 óra – a továbbiakban „megbízott adatfeldolgozó” vagy „szolgáltató” –

– az adatkezelő és az adatfeldolgozó a továbbiakban együttesen „a felek” –

Preambulum

Üdvözöljük a Campcruisers GmbH-nál! Nagy örömmel üdvözöljük Önt ügyfelünknek. Az átláthatóság, a legmagasabb szintű biztonsági előírások és a partnerségen alapuló, egyenrangú együttműködés számunkra elsődleges fontosságú. Az Ön és weboldalunk látogatóinak adatainak védelme számunkra nem csupán jogi kötelezettség, hanem vállalatunk központi minőségi ígérete is.

Az adatkezelő az adatfeldolgozó által fejlesztett, üzemeltetett és forgalmazott, felhőalapú Software-as-a-Service (SaaS) megoldást, a „Biscotti CMP” (Consent Management Platform) alkalmazást használja. A biscotti-cmp.com domain alatt, valamint az app.biscotti-cmp.com alkalmazáson keresztül nyújtott SaaS-szolgáltatások keretében az adatfeldolgozó az adatkezelő megbízásából és utasításai szerint személyes adatokat dolgoz fel. Jelen szerződés konkretizálja a felek adatvédelmi kötelezettségeit, amelyek a Biscotti CMP használatából erednek. Alkalmazási körébe tartoznak mindazok a tevékenységek, amelyek a fő szerződéssel (a SaaS-szolgáltatásokra vonatkozó használati szerződés) összefüggésben állnak, és amelyek során az adatfeldolgozó alkalmazottai vagy az általa megbízott harmadik felek az adatkezelő személyes adataival kerülhetnek kapcsolatba.

Ez a szerződés elengedhetetlenül szükséges az (EU) 2016/679 rendelet (általános adatvédelmi rendelet – GDPR), különösen a GDPR 28. cikkének, valamint a szövetségi adatvédelmi törvény (BDSG) és a távközlési és digitális szolgáltatások adatvédelmi törvénye (TDDDG) kiegészítő rendelkezéseinek teljes körű teljesítéséhez.

[!NOTE] Szerződéskötés az elektronikus üzleti forgalomban Ezt a szerződést az GDPR 28. cikke (9) bekezdésének megfelelően elektronikus formában kötik meg. A regisztráció során az adatkezelő által megadott adatokkal a szerződés a Biscotti CMP Általános Szerződési Feltételeinek (ÁSZF) szerves részét képezi. A szerződéskötés a regisztráció során kifejezett elektronikus hozzájárulással (pl. egy megerősítő gomb megnyomásával) jön létre, és érvényességéhez és jogi hatályához nincs szükség külön, kézzel írt aláírásra.

§ 1 Az adatkezelés tárgya és időtartama

1.1 Az adatkezelés tárgya Az adatfeldolgozó az adatkezelő számára szolgáltatásokat nyújt a hozzájáruláskezelés (Consent Management) és az adatvédelmi jogi megfelelés automatizálása területén. A személyes adatok feldolgozásának tárgya a felek között a Biscotti CMP használatáról kötött fő szerződésből ered. A feldolgozás magában foglalja az összes olyan adatkezelési műveletet, amely a szerződésben megállapodott szoftverfunkciók biztosításához szükséges. Ide tartoznak különösen, de nem kizárólagosan:

• Hozzájárulási sávok (cookie-sávok) rendelkezésre bocsátása és megjelenítése az adatkezelő weboldalain.
• Az adatkezelő végfelhasználói (weboldal-látogatói) hozzájárulási döntéseinek (hozzájárulás / elutasítás) rögzítése, tárolása, kezelése és dokumentálása a GDPR 7. cikk (1) bekezdése és a TDDDG 25. § (1) bekezdése szerint.
• Mesterséges intelligencián alapuló cookie-ellenőrzések végzése az adatkezelő weboldalain a nyomkövetési technológiák azonosítása és kategorizálása, valamint azok összevetése az IAB szolgáltatói adatbázissal.
• Jelek feldolgozása a Google Consent Mode v2, az IAB Transparency & Consent Framework (TCF 2.4) és a Global Privacy Control (GPC) keretében.
• A weboldal látogatójának joghatóságának IP-alapú meghatározása a jogszabályoknak megfelelő banner-változatok (pl. GDPR, CCPA/CPRA) dinamikus megjelenítése érdekében.
• Jogi szövegek (impresszum, adatvédelmi nyilatkozat, cookie-irányelv) AI-alapú generálása a beépített Legal Suite Assistant segítségével, a Alibaba Cloud Qwen felhasználásával.
• Ellenőrzési naplófájlok (audit-logok), valós idejű értesítésre szolgáló webhookok, A/B-tesztelési funkciók, valamint az érintettek jogainak a GDPR 15. cikke szerinti teljesítését szolgáló adatexport-funkciók biztosítása.
• Ügynökségi alfiókok kezelése az „Agency” díjszabás keretében, beleértve az ügyfélkezelést és a fehér címkés márkajelölést.

1.2 Az adatkezelés időtartama A jelen adatfeldolgozási szerződés időtartama a Biscotti CMP használatára vonatkozó alapul szolgáló fő szerződés időtartamától függ. A szerződés az adatkezelő regisztrációjával és a fiók aktiválásával (ingyenes csomagok esetén), illetve a fizetés visszaigazolásával (fizetős csomagok, például Starter, Growth, Business, Agency esetén) lép hatályba. A szerződés automatikusan megszűnik a fő szerződés megszűnésével, függetlenül a jogalaptól (pl. rendes felmondás, rendkívüli felmondás vagy a fiók törlése). A fő szerződés felmondási ideje 1 nap az adott számlázási időszak végéig. A jelen szerződés azon rendelkezései, amelyek jellegüknél fogva a felmondás után is érvényben maradnak (különösen az adatok törlésére és visszaszolgáltatására, valamint a felelősségre vonatkozó szabályok), a felmondás hatályától nem érintettek.

§ 2 Az adatkezelés jellege és célja

2.1 Az adatkezelés jellege Az adatkezelés jellege magában foglalja az adatok gyűjtését, rögzítését, rendszerezését, tárolását, kiigazítását vagy módosítását, kiolvasását, lekérdezését, felhasználását, továbbítás útján történő közzétételét, terjesztését vagy más formában történő rendelkezésre bocsátását, összevetését vagy összekapcsolását, korlátozását, törlését vagy megsemmisítését. Az adatkezelés elsősorban automatizáltan történik az adatfeldolgozó felhőalapú infrastruktúrájában (pl. a Hetzner Online GmbHon tárolva, a szerver helye általában az Európai Unióban található).

2.2 Az adatkezelés célja Az adatkezelés célja kizárólag a fő szerződésből származó szerződéses kötelezettségek teljesítése. Ez magában foglalja:

• A hozzájárulás igazolhatósága: a hozzájárulási adatok tárolása az adatkezelő elszámoltathatósági kötelezettségének teljesítése érdekében, az ADATV 5. cikk (2) bekezdésével összefüggésben az ADATV 7. cikk (1) bekezdésével.
• Technikai biztosítás: a hozzájárulási sáv megjelenítése és az adatkezelő weboldalának működőképességének biztosítása, figyelembe véve a felhasználói preferenciákat.
• Megfelelési elemzés: az adatkezelő weboldalainak automatizált ellenőrzése az adatvédelmi kockázatok szempontjából (cookie-szkenner).
• Jogi szövegek készítése: az adatkezelő vállalati és kapcsolattartási adatainak feldolgozása a mesterséges intelligenciával támogatott, személyre szabott jogi szövegek készítése céljából.
• Számlázás és fiókkezelés: a felhasználói fiókok kezelése, munkamenet-korlátok hozzárendelése (pl. 5 000 munkamenet az ingyenes csomagban, 500 000 a Business csomagban) és a munkamenet-átvitelek lebonyolítása.
• Ügynökségi kezelés: legfeljebb 25 alfiók kezelésének lehetővé tétele az Agency csomagban, beleértve a viszonteladói oldalak és az e-mail küldési funkciók rendelkezésre bocsátását.

Az adatoknak az adatfeldolgozó saját céljaira történő feldolgozása, különösen saját reklámcélokra vagy a szerződéses szolgáltatásnyújtáson túlmutató felhasználói profilok létrehozására, szigorúan tilos, kivéve, ha erre kifejezett törvényi engedély vagy külön hozzájárulás áll fenn.

§ 3 A személyes adatok típusa

Az adatfeldolgozás keretében a következő kategóriákba tartozó személyes adatokat dolgozzák fel. Az adatkezelő a Biscotti CMP használatával és a szoftver konfigurálásával maga határozza meg az adatok pontos körét:

• Hozzájárulási adatok: döntések (hozzájárulás / elutasítás különböző kategóriákra, mint például alapvető, funkcionális, elemzés, marketing, AI-szolgáltatások), időbélyeg (a hozzájárulás dátuma és pontos időpontja), egyedi azonosítószám (a döntésnek a megfelelő végberendezéshez/böngészőhöz való álnévvel történő hozzárendeléséhez).
• Műszaki adatok: IP-címek (elsősorban a joghatóság helyalapú felismerése céljából kerülnek feldolgozásra, és általában azonnal anonimizálásra/rövidítésre kerülnek, amennyiben az adatkezelő nem állít be eltérő konfigurációt), böngészőinformációk, eszközinformációk, felhasználói ügynök-karaktersorozatok, munkamenetadatok.
• Cookie- és nyomkövető adatok: az adatkezelő weboldalainak vizsgálati eredményei, beleértve a talált cookie-kat, a helyi tároló tartalmát, a harmadik felek nyomkövetőit és azok osztályozását.
• Mesterséges intelligenciával generált tartalmak: az adatkezelő által a Legal Suite segédprogramba bevitt adatok jogi szövegek (adatvédelmi nyilatkozat, jogi nyilatkozat, általános szerződési feltételek) generálása céljából. Ez magában foglalhatja a vállalati adatokat, a képviseletre jogosultak nevét, címeket és olyan konkrét adatkezelési tevékenységeket, amelyeket a Alibaba Cloud Model Studio (Qwen) API-n keresztül dolgoznak fel.
• Kapcsolattartási adatok (fióktulajdonos): az ügyfelek vagy fióktulajdonosok kereszt- és vezetékneve, e-mail címe, vállalatneve, címe, telefonszáma, áfa-azonosító száma.
• Használati adatok: Dashboard-tevékenységek, banner-statisztikák (megtekintések, interakciók, elfogadási arányok), megfelelőségi jelentések, fiókmódosításokról szóló ellenőrzési jegyzőkönyvek.
• Fizetési adatok: számlázási információk, amelyeket a Stripe fizetési szolgáltatón keresztül dolgoznak fel (ahol a hitelkártyaadatokat közvetlenül a Stripe-nél tokenizálják, és nem tárolják egyszerű szöveg formátumban az adatfeldolgozónál).

§ 4 Az érintettek kategóriái

Az adatkezelés az alábbi érintett személyek kategóriáira vonatkozik:

• Weboldal-látogatók (végfelhasználók): természetes személyek, akik az adatkezelő weboldalait látogatják, és akiknek a Biscotti CMP banneren keresztül megkérdezett, feldolgozott és tárolt hozzájárulási döntései.
• Ügyfelek (fióktulajdonosok): természetes személyek, egyéni vállalkozók vagy jogi személyek képviselői, akik az adatfeldolgozó szerződéses partnereiként regisztráltak egy fiókot a Biscotti CMP-nél.
• Csapat tagok és munkatársak: olyan személyek, akiket a fióktulajdonos (adatkezelő) további felhasználóként meghívott a Biscotti CMP irányítópultjára a rendszer kezelése céljából.
• Ügynökségek ügyfelei (alfiól-tulajdonosok): Azok az ügynökségek végfelhasználói, akik az „Agency” díjcsomagot használják, és akik számára alfiók lettek létrehozva.

§ 5 Az adatkezelő kötelezettségei és jogai

5.1 Az adatkezelés jogszerűsége A megbízott adatkezelés megengedhetőségének értékeléséért, valamint az érintettek jogainak védelméért kizárólag az adatkezelő felelős (GDPR 4. cikk (7) bekezdés). Az adatkezelő biztosítja, hogy az adatfeldolgozó által végzett személyes adatok feldolgozásához hatályos jogalap (pl. a GDPR 6. cikke (1) bekezdésének a) pontja szerinti hozzájárulás vagy a GDPR 6. cikke (1) bekezdésének f) pontja szerinti jogos érdek) álljon fenn. Ez különösen vonatkozik a Biscotti CMP használatára a TDDDG 25. § (1) bekezdése szerinti hozzájárulások beszerzése céljából.

5.2 Tájékoztatási kötelezettségek Az adatkezelő teljes mértékben felelős azért, hogy az érintetteket (különösen a weboldal látogatóit) a GDPR 13. és 14. cikke szerint átlátható, pontos és időszerű módon tájékoztassa az adatkezelésről. Az adatfeldolgozó ehhez a szükséges technikai információkat a Biscotti CMP működéséről, valamint a Legal Suite Assistant segítségével szövegmintákat bocsát az adatkezelő rendelkezésére. Az adatvédelmi nyilatkozat jogi ellenőrzése és beépítése az adatkezelő feladata.

5.3 Ügynökségi és viszonteladói használat Ha az adatkezelő az „Agency” díjszabást használja, és al-fiókokat hoz létre saját ügyfelei számára, akkor az adatkezelő marad az adatfeldolgozóval szemben az egyedüli szerződő fél és az adatvédelmi jogi értelemben vett adatkezelő. Az adatkezelő garantálja, hogy rendelkezik a végfelhasználóival kötött szükséges szerződéses megállapodásokkal (beleértve a saját adatfeldolgozói szerződéseket is). Ha az adatkezelő viszonteladói oldalt hoz létre, vagy saját domain alatt saját e-mail szervert használ, akkor kizárólagos adatvédelmi és versenyjogi felelősséget visel ezen infrastruktúráért. Az adatfeldolgozó ezért semmilyen felelősséget nem vállal.

5.4 Hibák bejelentése Az adatkezelőnek haladéktalanul és teljes körűen tájékoztatnia kell az adatfeldolgozót, ha a megbízás eredményeinek ellenőrzése során az adatvédelmi előírásokkal kapcsolatos hibákat vagy szabálytalanságokat állapít meg.

§ 6 Az adatkezelő utasítási joga

6.1 Az utasítások jellege és hatálya Az adatfeldolgozó kizárólag az adatkezelő dokumentált utasításai alapján dolgozza fel a személyes adatokat, kivéve, ha az Unió vagy a tagállamok jogszabályai, amelyek hatálya alá tartozik, erre kötelezik (GDPR 28. cikk (3) bekezdés a) pont). Ilyen esetben az adatfeldolgozó az adatkezelőnek az adatkezelés megkezdése előtt tájékoztatja erről a jogi követelményről, amennyiben az érintett jog nem tiltja ezt a tájékoztatást fontos közérdek miatt.

A fő szerződés, valamint a jelen ÁSZF képezik a kezdeti dokumentált utasítást. A Biscotti CMP funkcióinak (pl. a banner konfigurálása, szkennelés indítása, szövegek generálása) az adatkezelő általi használata a vezérlőpulton dokumentált egyedi utasításnak minősül.

6.2 Az utasítások formája Az utasítások általában a szoftver (alkalmazás) felhasználói felületén keresztül adhatók meg. Az ezen túlmutató utasításokat írásban (pl. e-mailben a [email protected] címre) kell megadni. A szóban adott utasításokat az adatkezelőnek haladéktalanul írásban kell megerősítenie.

6.3 Kifogások az utasításokkal szemben Az adatfeldolgozó haladéktalanul tájékoztatja az adatkezelőt, ha úgy véli, hogy egy utasítás sérti a GDPR-t, a BDSG-t vagy az Unió vagy a tagállamok egyéb adatvédelmi rendelkezéseit. Az adatfeldolgozó jogosult felfüggeszteni a vonatkozó utasítás végrehajtását mindaddig, amíg azt az adatkezelő meg nem erősíti vagy módosítja. Az adatfeldolgozó elutasíthatja a nyilvánvalóan jogellenes utasításokat.

§ 7 Titoktartási kötelezettség

7.1 A munkavállalók kötelezettsége Az adatfeldolgozó igazolja, hogy minden olyan személyt, aki jogosult az adatkezelő személyes adatainak feldolgozására (munkavállalók, szabadúszók, szervek), a tevékenység megkezdése előtt titoktartási kötelezettség alá helyezett (GDPR 28. cikk (3) bekezdés b) pont), vagy hogy ezekre megfelelő törvényes titoktartási kötelezettség vonatkozik. Ez a kötelezettség kiterjed az adatok titkosságára is, és a tevékenység vagy a munkaviszony megszűnését követően is fennmarad.

7.2 Képzés és tudatosságnövelés Az adatfeldolgozó gondoskodik arról, hogy az adatkezelésre jogosult személyeket rendszeresen oktassák és érzékenyítsék az adatvédelmi (GDPR, BDSG) és adatbiztonsági előírásokra vonatkozóan. Az adatfeldolgozó, amelyet az ügyvezetés (Daniel Bosch, Philipp André Marschall) képvisel, gondoskodik az adatvédelmi előírásoknak megfelelő vállalati kultúra kialakításáról.

7.3 Adatvédelmi tisztviselő Az adatfeldolgozó, amennyiben az a BDSG 38. § (1) bekezdése vagy a GDPR 37. cikke szerint törvényileg szükséges (pl. általában legalább 20 olyan személy esetén, akik folyamatosan automatizált adatkezeléssel foglalkoznak), kinevezett egy szakértő és megbízható adatvédelmi tisztviselőt.

Amennyiben nincs törvényi kötelezettség az adatvédelmi tisztviselő kinevezésére, az adatfeldolgozó mindazonáltal biztosítja, hogy az adatvédelmi kötelezettségeket az ügyvezetés teljes körűen felügyelje és betartsa.

8. § Technikai és szervezési intézkedések (TOM-ok) a GDPR 32. cikke szerint

8.1 Az adatkezelés biztonságának elve Az adatfeldolgozó kötelező érvényűen kijelenti, hogy a technika állását, a megvalósítási költségeket, valamint az adatkezelés jellegét, terjedelmét, a körülmények és az adatkezelés céljai, valamint a természetes személyek jogait és szabadságait érintő kockázatok eltérő bekövetkezési valószínűsége és súlyossága figyelembevételével megfelelő technikai és szervezési intézkedéseket (TOM-okat) hozott a kockázatnak megfelelő védelmi szint biztosítása érdekében (GDPR 32. cikk). Ezek az intézkedések elismert informatikai biztonsági szabványokon alapulnak (például az ISO 27001 és a SOC 2).

8.2 Konkrét intézkedések Az adatfeldolgozó különösen a következő intézkedéseket hajtja végre, és azokat a szerződés teljes időtartama alatt fenntartja:

a) Pseudoanonimizálás és titkosítás (GDPR 32. cikk (1) bekezdés a) pont)

• Titkosítás az átvitel során: A végfelhasználó, az adatkezelő és a Biscotti CMP infrastruktúra közötti összes adatátvitel kötelezően a legmodernebb titkosítási protokollok (TLS 1.2 vagy TLS 1.3) segítségével történik.
• Titkosítás nyugalmi állapotban: A Hetzner Online GmbHon (szerver helye: NL) található összes adatbázis és adathordozó merevlemez-szinten titkosítva van (AES-256).
• Pseudonimizálás: A hozzájárulási döntéseket nem a valódi névhez, hanem egy véletlenszerűen generált, kriptográfiai azonosítószámhoz kapcsoljuk. Az IP-címeket alapértelmezés szerint rövidítjük/anonimizáljuk, amint a helyalapú hozzárendelés befejeződött.

b) Titoktartás (belépés-, hozzáférés- és hozzáférési ellenőrzés)

• Belépés-ellenőrzés: A használt szerverek fizikai biztonságát a külső infrastruktúra-szolgáltató (pl. Google Cloud) garantálja. Az adatközpontok szigorú, az iparágban szokásos belépési és biztonsági ellenőrzéseknek vannak alávetve. A Campcruisers GmbH saját irodáit megfelelő fizikai belépési korlátozások (pl. biztonsági zárak) védik.
• Belépés-ellenőrzés: Az adatfeldolgozó IT-rendszereihez való hozzáférést szigorú jelszó-irányelvek, a releváns rendszergazdai hozzáférések esetében többfaktoros hitelesítés (MFA), valamint munkamenet-időkorlátok biztosítják. Olyan rendszereket alkalmaznak, mint a Cloudflare Turnstile, hogy megvédjék a bejelentkezési kísérleteket a bot-támadásoktól.
• Hozzáférési ellenőrzés: A minimális jogosultság-megadás elve (Role-Based Access Control – RBAC) érvényes. Az adatfeldolgozó munkatársai csak azokhoz az adatokhoz férhetnek hozzá, amelyek a feladatuk elvégzéséhez feltétlenül szükségesek. A különböző tarifák ügyféladatai logikailag elkülönülnek egymástól (többfelhasználós képesség).

c) Integritás (továbbítási, bevitel- és szétválasztási ellenőrzés)

• Továbbítási ellenőrzés: Az adatokat nem fizikai adathordozókon szállítják. Az átvitel kizárólag biztonságos hálózatokon keresztül történik.
• Beviteli ellenőrzés: A Biscotti CMP átfogó ellenőrzési naplóval (audit-log) rendelkezik. Bármikor nyomon követhető, hogy melyik felhasználó (ügyfél, csapattag, ügynökség) mikor milyen módosításokat hajtott végre a műszerfalon (pl. a banner szövegek módosítása, a cookie-kategóriák kiigazítása).
• Elválasztási ellenőrzés: A különböző célokra gyűjtött adatokat elkülönítve kezeljük. A termelési, tesztelési és fejlesztési környezeteket szigorúan elszigeteljük egymástól.

d) Rendelkezésre állás és terhelhetőség (GDPR 32. cikk (1) bekezdés b) és c) pont)

• Rendelkezésre állás: Az adatfeldolgozó az iparágban szokásos, megfelelő intézkedéseket hoz a rendszerek rendelkezésre állásának biztosítása érdekében (tárhely a Hetzner Online GmbHon). Ugyanakkor nem garantálnak kifejezett SLA-rendelkezésre állást, és az infrastruktúra nem rendelkezik teljes körű redundanciával.
• Terhelhetőség: A rendszerarchitektúra úgy van kialakítva, hogy a várható munkamenet-forgalmat általában megbízhatóan feldolgozza. Dedikált terheléselosztás vagy automatikus méretezési mechanizmusok (auto-scaling) azonban nem kerülnek alkalmazásra.
• Helyreállíthatóság: Az adatfeldolgozó megfelelő intézkedéseket hoz (pl. az adatbázisok rendszeres biztonsági mentése) annak érdekében, hogy technikai incidens esetén az adatok helyreállítása lehetséges legyen. A veszteségmentes helyreállításra azonban nincs garancia, ezért az adatkezelőt felkérjük, hogy saját felelősségére használja a rendelkezésére álló exportfunkciókat.

e) Rendszeres ellenőrzési eljárások (GDPR 32. cikk (1) bekezdés d) pont)

• Az adatfeldolgozó rendszeresen belső ellenőrzést végez a hozott technikai és szervezési intézkedések hatékonyságáról.
• Belső folyamatok léteznek a biztonsági incidensekre való reagálásra (incident response), hogy a jogi keretek között tudjanak reagálni a potenciális incidensekre.
• A TOM-ok folyamatos fejlesztési folyamat alá tartoznak.

8.3 A TOM-ok módosítása A technikai és szervezési intézkedések a technikai fejlődésnek és a továbbfejlesztésnek vannak alávetve. Az adatfeldolgozó jogosult alternatív, megfelelő intézkedéseket végrehajtani, feltéve, hogy azok nem csökkentik a meghatározott intézkedések biztonsági szintjét. A lényeges változásokat írásban kell közölni az adatkezelővel.

§ 9 Alvállalkozói adatfeldolgozók

9.1 Alvállalkozók megbízása Az adatkezelő ezennel általános írásbeli engedélyt ad az adatfeldolgozónak (GDPR 28. cikk (2) bekezdés) további adatfeldolgozók (alvállalkozók) bevonására. Az adatfeldolgozó gondoskodik arról, hogy az alvállalkozókat gondosan válassza ki, és szerződésben ugyanazokat az adatvédelmi kötelezettségeket írja elő számukra, mint amelyek a jelen szerződésben szerepelnek (GDPR 28. cikk (4) bekezdés).

9.2 Jelenleg engedélyezett alvállalkozók A szerződés megkötésekor a következő alvállalkozók működnek a Biscotti CMP szolgáltatások nyújtása érdekében, és az adatkezelő által engedélyezettnek minősülnek. Az adatfeldolgozó biztosította, hogy az amerikai szolgáltatók esetében az adott EU-leányvállalat járjon el szerződő félként az EU adatvédelmi szintjének fenntartása érdekében:

9.3 Harmadik országba történő adattovábbítás Ha az adatkezelés az Európai Unió (EU) vagy az Európai Gazdasági Térség (EGT) területén kívül található alvállalkozók által történik (pl. a Resend esetében), az adatfeldolgozó biztosítja, hogy a GDPR 44. cikke és az azt követő cikkek különleges követelményei teljesüljenek. Ez általában az Európai Bizottság aktuális általános szerződéses feltételeinek (SCC-k) aláírásával, valamint egy adatátviteli hatásvizsgálattal (Transfer Impact Assessment) és további technikai intézkedések (pl. titkosítás) bevezetésével történik.

9.4 Új alvállalkozók bevonása vagy cseréje Az adatfeldolgozó minden tervezett változásról tájékoztatja az adatkezelőt az alvállalkozók bevonásával vagy cseréjével kapcsolatban. A tájékoztatás írásban történik (pl. e-mailben a fiókban megadott címre) legalább 30 nappal a tervezett változás előtt. Az adatkezelő az adatvédelmi jog alapján fontos okból a közlemény kézhezvételétől számított 14 napon belül kifogást emelhet a változás ellen. Ha nem emelnek kifogást, a változás jóváhagyottnak minősül. Indokolt tiltakozás esetén, amelyet az adatfeldolgozó ésszerű intézkedésekkel nem tud elhárítani, az adatkezelő jogosult a fő szerződést rendkívüli módon felmondani a módosítás hatálybalépésének időpontjában.

§ 10 Támogatás az érintettek jogai tekintetében

10.1 Támogatási kötelezettség Az adatfeldolgozó lehetőség szerint megfelelő technikai és szervezési intézkedésekkel támogatja az adatkezelőt abban, hogy teljesítse a GDPR III. fejezetében meghatározott, az érintettek jogainak érvényesítésére irányuló kérelmekre való válaszadásra vonatkozó kötelezettségét (GDPR 15–22. cikk) (GDPR 28. cikk (3) bekezdés e) pont).

10.2 Technikai megvalósítás a Biscotti CMP-ben A Biscotti CMP célja, hogy technikai támogatást nyújtson az adatkezelőnek kötelezettségei teljesítésében:

• Tájékoztatási jog (GDPR 15. cikk) és az adathordozhatósághoz való jog (GDPR 20. cikk): A szoftver adatexportálási lehetőségeket kínál (pl. CSV formátumban), illetve az ügyfélszolgálatnál adatvédelmi előírásoknak megfelelően kérhetőek konkrét hozzájárulási azonosítók exportálása.
• Visszavonási jog (GDPR 7. cikk (3) bekezdés): A Biscotti CMP hozzájárulási sávja lehetővé teszi a végfelhasználók számára, hogy megtekintsék a megadott beállításokat, és azokat bármikor visszavonják.
• Törléshez való jog (GDPR 17. cikk): A gyűjtött adatokat az adatkezelő a műszerfalon rendelkezésre álló funkciók segítségével törölheti, vagy igazolható módon az ügyfélszolgálatnál kérheti azok törlését.

10.3 Kérések továbbítása Ha az érintett személy jogait közvetlenül az adatfeldolgozóval szemben érvényesíti, az adatfeldolgozó nem válaszol önállóan a kérelemre, hanem haladéktalanul az adatkezelőhöz irányítja az érintett személyt, amennyiben a rendelkezésre álló adatok alapján lehetséges az adatkezelő azonosítása. Az adatfeldolgozó haladéktalanul továbbítja a kérelmet az adatkezelőnek.

§ 11 Támogatás a DSFA és a bejelentési kötelezettségek terén

11.1 Adatvédelmi hatásvizsgálat (GDPR 35. cikk) Az adatfeldolgozó az adatkezelés jellegét és a rendelkezésére álló információkat figyelembe véve támogatja az adatkezelőt az GDPR 35. cikke szerinti adatvédelmi hatásvizsgálat (DSFA) elvégzésében, valamint az esetlegesen szükséges előzetes konzultációban a felügyeleti hatósággal (GDPR 36. cikk).

11.2 A személyes adatok védelmének megsértéseiről szóló bejelentés Az adatfeldolgozó köteles az adatkezelőnek minden, a megbízás keretében feldolgozott adatokat érintő személyes adatok védelmének megsértését (adatvédelmi incidens) haladéktalanul, de legkésőbb a tudomásszerzéstől számított 48 órán belül írásban bejelenteni.

§ 12 Adatok törlése és visszaszolgáltatása

12.1 Törlés a szerződés lejártát követően Az adatkezelési szolgáltatások teljesítésének befejezését követően (a fő szerződés megszűnése) az adatfeldolgozó köteles az adatkezelő választása szerint minden személyes adatot törölni vagy visszaszolgáltatni, amennyiben az uniós jog vagy a tagállamok joga (pl. a HGB és az AO szerinti kereskedelmi és adójogi megőrzési kötelezettségek) nem ír elő személyes adatok tárolására vonatkozó kötelezettséget.

12.2 A Biscotti CMP standard eljárása Amennyiben az adatkezelő eltérő utasítást nem ad, a következő standard eljárás érvényes: Az adatkezelőnek lehetősége van a szerződés lejárta előtt az exportfunkció (CSV) segítségével önállóan biztonsági másolatot készíteni adatairól. A felmondás hatálybalépését és a számlázási időszak lejártát követően az adatkezelő fiókja deaktiválásra kerül. A fiókban tárolt személyes adatokat 30 napos átmeneti időszakra (megőrzési idő) megőrzik, hogy véletlen downgrade esetén a helyreállítás lehetséges legyen. E 30 nap letelte után az adatokat visszavonhatatlanul és az adatvédelmi előírásoknak megfelelően törlik a termelő rendszerekből.

12.3 A törlés visszaigazolása Az adatfeldolgozó az adatkezelő kifejezett kérésére írásban visszaigazolja az adatok adatvédelmi előírásoknak megfelelő törlését.

§ 13 Ellenőrzési jogok és auditok

13.1 Ellenőrzési jog Az adatfeldolgozó az adatkezelő rendelkezésére bocsát minden szükséges információt annak érdekében, hogy igazolja a GDPR 28. cikkében és a jelen szerződésben foglalt kötelezettségek betartását. Lehetővé teszi az adatkezelő vagy az általa megbízott, titoktartási kötelezettséget vállaló ellenőr által végzett ellenőrzéseket – beleértve a helyszíni ellenőrzéseket is –, és hozzájárul azokhoz.

13.2 Auditok végrehajtása Az adatközpontok biztonságának és más ügyfelek adatainak bizalmas kezelésének (ügyfélszétválasztás) veszélyeztetése elkerülése érdekében a felek a következő eljárást állapítják meg az auditok tekintetében:

• Az adatkezelő ellenőrzési jogát elsősorban releváns tanúsítványok (pl. ISO 27001) bekérésével és értékelésével, illetve az IT-biztonságról szóló részletes kérdőívek kitöltetésével gyakorolja.
• Amennyiben ezek az információk nem bizonyulnak elegendőnek, az adatkezelő jogosult helyszíni ellenőrzést végezni a Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee) üzleti helyiségeiben.
• A helyszíni ellenőrzéseket megfelelő előzetes értesítéssel (általában legalább 14 nappal korábban) kell bejelenteni.

§ 14 Felelősség és kártérítés

14.1 Külső jogviszony (az érintettekkel szemben) A károk megtérítéséért az adatkezelő és az adatfeldolgozó az érintett személy felé a GDPR 82. cikke szerint felel. Az adatfeldolgozó csak akkor felel az adatkezelésből eredő kárért, ha nem teljesítette a GDPR-ból eredő kötelezettségeit, vagy az adatkezelő jogszerűen kiadott utasításait megszegte.

14.2 Belső jogviszony (a felek között) A belső jogviszonyban a felek mentesülnek a felelősség alól, ha az egyik fél bizonyítja, hogy semmilyen tekintetben nem felelős a kárt okozó körülményért.

14.3 A fő szerződésből eredő felelősségkorlátozás Kiegészítésképpen a fő szerződés (Általános Szerződési Feltételek) felelősségi szabályai is érvényesek. A könnyű gondatlanságért való felelősség kizárt, kivéve, ha lényeges szerződéses kötelezettségek (alapvető kötelezettségek) megsértéséről van szó. Ebben az esetben a felelősség a szerződés jellegére jellemző, előre látható kárra korlátozódik.

§ 15 Záró rendelkezések

15.1 Írásbeli forma és módosítások A jelen szerződés módosításai és kiegészítései írásbeli formában (pl. e-mailben) történnek. Az adatfeldolgozó fenntartja magának a jogot, hogy a jelen szerződést módosítsa a megváltozott jogi helyzetekhez vagy a technikai fejleményekhez való igazodás érdekében. Az adatkezelőt e-mailben tájékoztatják a módosításokról.

15.2 Rangsor Amennyiben a jelen adatfeldolgozási szerződés egyes rendelkezései ellentétben állnak a fő szerződés (ÁSZF) rendelkezéseivel, az adatvédelemre és az adatbiztonságra vonatkozóan a jelen adatfeldolgozási szerződés rendelkezései az irányadók.

15.3 Elválasztó záradék Amennyiben a jelen szerződés egyes rendelkezései hatálytalanok vagy végrehajthatatlanok, vagy azok hatálytalanná vagy végrehajthatatlanná válnak, ez nem érinti a többi rendelkezés hatályát. A felek kötelezik magukat, hogy a hatálytalan vagy végrehajthatatlan rendelkezést hatályos és végrehajtható rendelkezéssel helyettesítik.

15.4 Alkalmazandó jog és joghatóság Jelen szerződésre kizárólag a Német Szövetségi Köztársaság joga alkalmazandó, az ENSZ-vásárlási jog kizárásával. Jelen szerződésből eredő vagy azzal kapcsolatos minden jogvita kizárólagos joghatósága – amennyiben a törvény megengedi – az adatfeldolgozó székhelye (Falkensee). A szerződés nyelve a német.