データ処理契約

GDPR第28条に基づくデータ処理契約（DPA）

2026年3月20日現在

Biscotti CMPの登録顧客（以下、「管理者」または「顧客」という）と

Biscotti CMPの登録顧客 （以下「管理者」または「顧客」という）

および

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee ドイツ連邦共和国

登記裁判所：ポツダム地方裁判所 登記番号：HRB 40180 P VAT番号：DE368000447 納税者番号：29/249/36095 代表者：ダニエル・ボッシュ（CEO）、フィリップ・アンドレ・マルシャル（代理権者） Eメール：[email protected] 電話：+49 3322 50703301 営業時間：月～金、09:00～17:00 – 以下、「委託処理者」または「プロバイダー」という –

– データ管理者とデータ処理者は、以下、総称して「当事者」とも呼ばれる –

---

前文

Campcruisers GmbHへようこそ！お客様をお迎えできることを大変嬉しく思います。透明性、最高水準のセキュリティ、そして対等なパートナーとしての関係構築を、当社は最優先事項としています。お客様およびウェブサイト訪問者のデータの保護は、当社にとって単なる法的義務ではなく、企業の核心となる品質への約束です。

データ管理者は、データ処理者が開発、運用、販売するクラウドベースのソフトウェア・アズ・ア・サービス（SaaS）ソリューション「Biscotti CMP」（Consent Management Platform）を利用しています。 ドメイン biscotti-cmp.com およびアプリケーション app.biscotti-cmp.com を通じて提供される本SaaSサービスの提供に際し、委託処理者は、データ管理者の委託および指示に基づき、個人データを処理します。 本契約は、Biscotti CMPの利用に起因する当事者のデータ保護法上の義務を具体化するものである。本契約は、主契約（SaaSサービス利用契約）に関連し、かつ、委託処理業者の従業員または委託処理業者が委託した第三者が、管理者の個人データに接触する可能性があるすべての活動に適用される。

本契約は、規則（EU）2016/679 （一般データ保護規則 – GDPR）、特にGDPR第28条、ならびに連邦データ保護法（BDSG）および電気通信・デジタルサービスデータ保護法（TDDDG）の補足規定に完全に準拠するために不可欠です。

[!NOTE] 電子商取引における契約の締結 本契約は、GDPR第28条第9項に基づき、電子形式で締結されます。責任者による登録・サインアップの際、本契約はBiscotti CMPの利用規約（AGB）の不可欠な構成要素となります。 契約の締結は、登録の過程における明示的な電子的同意（例：確認ボタンのクリック）によって行われ、その有効性および法的効力を得るために、別途の手書きの署名は必要としない。

第1条 処理の対象および期間

1.1 処理の対象 処理 委託者は、データ管理者に対し、同意管理（Consent Management）およびデータ保護法に基づくコンプライアンスの自動化の分野においてサービスを提供します。 個人データの処理の対象は、Biscotti CMPの利用に関する当事者間で締結された基本契約に基づきます。処理には、契約で合意されたソフトウェア機能を提供するために必要な、データに関連するすべての業務が含まれます。これには、特に以下が含まれますが、これらに限定されません：

• データ管理者のウェブサイト上での同意バナー（クッキーバナー）の提供および表示。
• GDPR第7条第1項およびTDDDG第25条第1項に基づき、データ管理者のエンドユーザー（ウェブサイト訪問者）による同意決定（同意／拒否）の収集、保存、管理、および記録。
• トラッキング技術の特定および分類、ならびにIABプロバイダーデータベースとの照合を目的とした、管理者のウェブサイトにおけるAIを活用したCookieスキャンの実施。
• Google Consent Mode v2、IAB Transparency & Consent Framework (TCF 2.4)、およびGlobal Privacy Control (GPC) の枠組みにおけるシグナルの処理。
• ウェブサイト訪問者の管轄区域をIPアドレスに基づいて特定し、法令に準拠したバナーバリエーション（例：GDPR、CCPA/CPRA）を動的に表示すること。
• Alibaba Cloud Qwenを活用した、統合されたLegal Suiteアシスタントによる法的文書のAI生成（サイト運営者情報、プライバシーポリシー、クッキーポリシー）。
• 監査ログ、リアルタイム通知のためのWebhook、A/Bテスト機能、およびGDPR第15条に基づくデータ主体の権利を満たすためのデータエクスポート機能の提供。
• 「Agency」プランにおける代理店サブアカウントの管理（クライアント管理およびホワイトラベル・ブランディングを含む）。

1.2 処理期間 本委託処理契約の有効期間は、Biscotti CMPの利用に関する基本契約の有効期間に準拠する。 本契約は、データ管理者の登録およびアカウントの有効化（無料プランの場合）、あるいは支払い確認（Starter、Growth、Business、Agencyなどの有料プランの場合）をもって発効する。本契約は、いかなる法的根拠によるものであれ（例：通常解約、特別解約、またはアカウントの削除）、主契約の終了と同時に自動的に終了する。 本契約の解約通知期間は、各請求期間の終了日の1日前とします。その性質上、契約終了後も効力を有すべき本契約の規定（特にデータの削除および返還に関する規定、ならびに責任に関する事項）は、契約終了の影響を受けません。

第2条 処理の種類および目的

2.1 処理の種類 処理の種類には、データの収集、記録、整理、分類、保存、修正または変更、抽出、照会、利用、送信、配布、またはその他の提供形態による開示、照合または連結、制限、削除、または破棄が含まれる。 処理は、主に委託処理業者のクラウドインフラストラクチャにおいて自動化されて行われる（例：Hetzner Online GmbH上でホストされ、サーバーの所在地は通常欧州連合内）。

2.2 処理の目的 処理の目的は、主契約に基づく契約上の義務の履行のみにある。これには以下が含まれる：

• 同意の証明可能性：GDPR第5条第2項および第7条第1項に基づき、データ管理者の説明責任を履行するための同意データの保存。
• 技術的提供：ユーザーの好みを考慮した上で、同意バナーを表示し、データ管理者のウェブサイトの機能性を確保すること。
• コンプライアンス分析：データ保護法上のリスクについて、管理者のウェブサイトを自動的に検査すること（Cookieスキャナー）。
• 法的文書の作成：AIを活用したオーダーメイドの法的文書の作成のために、データ管理者の企業情報および連絡先データを処理します。
• 課金およびアカウント管理：ユーザーアカウントの管理、セッション制限の割り当て（例：無料プランで5,000セッション、ビジネスプランで500,000セッション）、およびセッション移行の処理。
• 代理店管理：エージェンシープランにおいて最大25のサブアカウントの管理を可能にし、これには再販業者向けページおよびメール配信機能の提供が含まれます。

委託処理業者が、契約上のサービス提供の範囲を超えて、自らの目的（特に自社の広告目的やユーザープロファイルの作成など）のためにデータを処理することは、明示的な法的許可または別途の同意がない限り、厳格に禁止されています。

第3条 個人データの種類

委託処理の枠組みにおいて、以下のカテゴリーの個人データが処理されます。データ管理者は、Biscotti CMPの利用およびソフトウェアの設定を通じて、データの正確な範囲を自ら決定します：

• 同意データ：決定内容（必須、機能、分析、マーケティング、AIサービスなどの各カテゴリーに対する同意／拒否）、タイムスタンプ（同意の日付および正確な時刻）、一意の識別番号（決定をそれぞれの端末／ブラウザに仮名で紐付けるため）。
• 技術データ：IPアドレス（主に管轄区域の位置情報に基づく識別のために処理され、データ管理者が異なる設定を行わない限り、通常は直ちに匿名化または短縮されます）、ブラウザ情報、デバイス情報、ユーザーエージェント文字列、セッションデータ。
• クッキーおよびトラッカーデータ：管理者のウェブサイトのスキャン結果（検出されたクッキー、ローカルストレージの内容、サードパーティのトラッカーおよびその分類を含む）。
• AI生成コンテンツ：管理者がLegal Suiteアシスタントに入力し、法的文書（プライバシーポリシー、サイト運営者情報、利用規約）を生成するために使用するデータ。これには、企業データ、代表者の氏名、住所、およびAlibaba Cloud Model Studio (Qwen) APIを通じて処理される特定の処理活動が含まれる場合があります。
• 連絡先情報（アカウント所有者）：顧客またはアカウント所有者の氏名、メールアドレス、会社名、住所、電話番号、VAT番号（付加価値税番号）。
• 利用データ：ダッシュボード上の活動、バナー統計（閲覧数、インタラクション、コンバージョン率）、コンプライアンスレポート、アカウント変更に関する監査ログ。
• 支払いデータ：決済サービスプロバイダーであるStripeを通じて処理される請求情報（なお、クレジットカード情報はStripeにて直接トークン化され、処理業者には平文で保存されません）。

第4条 データ主体のカテゴリー

本処理の対象となるデータ主体のカテゴリーは以下の通りです：

• ウェブサイト訪問者（エンドユーザー）：管理者のウェブサイトを訪問し、Biscotti CMPバナーを通じて同意の意思決定が照会、処理、保存される自然人。
• 顧客（アカウント所有者）：委託処理業者の契約パートナーとして、Biscotti CMPにアカウントを登録した自然人、個人事業主、または法人の代表者。
• チームメンバーおよび従業員：システムを管理するために、アカウント所有者（データ管理者）からBiscotti CMPダッシュボードへの追加ユーザーとして招待された者。
• 代理店の顧客（サブアカウント所有者）：「Agency」プランを利用し、サブアカウントが作成された代理店のエンドユーザー。

第5条 データ管理者の義務および権利

5.1 処理の適法性 委託された処理の適法性の判断、およびデータ主体の権利の保護については、管理者が単独で責任を負う（GDPR第4条第7項）。 管理者は、委託処理者による個人データの処理について、有効な法的根拠（例：GDPR第6条第1項(a)に基づく同意、またはGDPR第6条第1項(f)に基づく正当な利益）が存在することを確保するものとします。 これは、特に、TDDDG第25条第1項に基づく同意の取得のためにBiscotti CMPを使用する場合に適用される。

5.2 情報提供義務 データ管理者は、GDPR第13条および第14条に基づき、データ主体（特にウェブサイト訪問者）に対し、データ処理について透明性があり、正確かつ適時に情報を提供することについて全面的な責任を負う。 このため、委託処理者は、Biscotti CMPの機能に関する必要な技術情報およびLegal Suiteアシスタントによるテンプレート文を、データ管理者に提供する。プライバシーポリシーの法的審査および組み込みは、データ管理者の責任とする。

5.3 代理店および再販業者による利用 データ管理者が「Agency」プランを利用し、自身の顧客向けにサブアカウントを作成する場合、データ管理者は、委託処理業者との関係において、唯一の契約当事者であり、データ保護法上のデータ管理者であり続ける。 管理者は、エンドユーザーとの間で必要な契約上の取り決め（独自の委託処理契約を含む）を締結していることを保証するものとします。管理者が再販業者向けページを開設する場合、または独自のドメイン下で独自のメールサーバーを利用する場合、当該インフラストラクチャに関するデータ保護法および競争法上の責任は管理者が単独で負うものとします。委託処理者はこれについて一切の責任を負いません。

5.4 不具合の報告 データ管理者は、委託業務の結果を確認した際に、データ保護法に関する規定に違反する不具合または不備を発見した場合、直ちに、かつ完全に、委託処理業者に通知しなければならない。

第6条 データ管理者の指示権

6.1 指示の種類および範囲 委託処理者は、自らが従うべきEUまたは加盟国の法令により義務付けられている場合を除き、データ管理者の文書化された指示に基づいてのみ個人データを処理する（GDPR第28条第3項a号）。 そのような場合、当該法が重要な公益上の理由によりそのような通知を禁止していない限り、委託処理者は、処理に先立ち、当該法的要件を管理者に通知する。

主契約および本AVVは、初期の文書化された指示を構成する。ダッシュボードにおける管理主体によるBiscotti CMPの機能の利用（例：バナーの設定、スキャンの開始、テキストの生成）は、文書化された個別指示とみなされる。

6.2 指示の形式 指示は、原則としてソフトウェア（アプリケーション）のユーザーインターフェースを通じて行うことができる。これ以外の指示は、書面（例：[email protected] への電子メール）で行うものとする。口頭による指示については、データ管理者が直ちに書面で確認しなければならない。

6.3 指示に対する異議 処理委託業者は、指示がGDPR、BDSG、またはEUもしくは加盟国のその他のデータ保護規定に違反すると判断した場合、直ちに管理者に通知する。処理委託業者は、当該指示が管理者によって確認または変更されるまで、その実施を一時停止する権利を有する。 明らかに違法な指示については、委託処理業者はこれを拒否することができる。

第7条 守秘義務

7.1 従業員の義務 委託処理者は、管理者の個人データの処理を許可されたすべての者（従業員、フリーランス、役員）に対し、業務開始前に守秘義務を課していること（GDPR第28条第3項b号）、または当該者が適切な法的守秘義務を負っていることを確認する。 この義務にはデータの秘密保持も含まれ、業務または雇用関係の終了後も存続する。

7.2 研修および意識啓発 委託処理業者は、処理を許可された者が、データ保護（GDPR、BDSG）およびデータセキュリティに関する規定について、定期的に指導を受け、意識啓発されるよう確保する。経営陣（ダニエル・ボッシュ、フィリップ・アンドレ・マルシャル）が代表する委託処理業者は、データ保護に準拠した企業文化の醸成に努める。

7.3 データ保護責任者 委託処理者は、BDSG第38条第1項またはGDPR第37条に基づき法的に必要とされる場合（例：通常、自動化された処理に常時従事する者が20名以上いる場合）、専門知識を有し信頼できるデータ保護責任者を指名する。

任命に関する法的義務が存在しない場合でも、委託処理者は、データ保護に関する義務が経営陣によって完全に監視され、遵守されることを確保する。

第8条 GDPR第32条に基づく技術的・組織的措置（TOMs）

8.1 処理の安全性の原則 委託処理者は、技術の水準、導入コスト、および処理の状況、範囲、 状況および処理の目的、ならびに自然人の権利および自由に対するリスクの発生確率および重大度の差異を考慮し、リスクに見合った保護水準を確保するために適切な技術的・組織的措置（TOMs）を講じていることを確約する（GDPR第32条）。これらの措置は、 （ISO 27001 や SOC 2 など）に基づいています。

8.2 具体的な措置 委託処理者は、特に以下の措置を実施し、契約期間を通じてこれを維持する：

a) 仮名化および暗号化（GDPR第32条第1項a号）

• 転送時の暗号化：エンドユーザー、データ管理者、およびBiscotti CMPインフラ間のすべてのデータ転送は、必ず最新の暗号化プロトコル（TLS 1.2またはTLS 1.3）を介して行われます。
• 保存時の暗号化：Hetzner Online GmbH（サーバー所在地：オランダ）上のすべてのデータベースおよびストレージメディアは、ハードディスクレベルで暗号化（AES-256）されています。
• 仮名化：同意に関する決定は、実名ではなく、ランダムに生成された暗号化識別番号と紐付けられます。IPアドレスは、位置情報に基づく割り当てが完了次第、デフォルトで短縮／匿名化されます。

b) 機密性（アクセス制御）

• 物理的アクセス制御：使用されるサーバーの物理的セキュリティは、外部のインフラサービスプロバイダー（例：Google Cloud）によって保証されています。データセンターは、業界標準の厳格なアクセスおよびセキュリティ管理の対象となっています。Campcruisers GmbHの自社オフィススペースは、適切な物理的アクセス制限（例：セキュリティロック）によって保護されています。
• アクセス制御：委託処理業者のITシステムへのアクセスは、厳格なパスワードポリシー、関連する管理者用アクセスに対する多要素認証（MFA）、およびセッションタイムアウトによって保護されています。Cloudflare Turnstileなどのシステムを採用し、ボット攻撃からログイン試行を保護しています。
• アクセス制御：最小権限の原則（ロールベースアクセス制御 - RBAC）が適用されます。委託処理業者の従業員は、それぞれの業務に不可欠なデータにのみアクセスできます。各料金プランの顧客データは、論理的に分離されています（マルチテナント対応）。

c) 完全性（転送、入力、分離の管理）

• 転送制御：データは物理的なデータ媒体で輸送されません。転送は、安全なネットワークを介してのみ行われます。
• 入力制御：Biscotti CMPは包括的な監査ログを備えています。どのユーザー（顧客、チームメンバー、代理店）が、いつ、ダッシュボードでどのような変更を行ったか（例：バナーテキストの変更、Cookieカテゴリの調整）を、いつでも追跡可能です。
• 分離管理：異なる目的で収集されたデータは、分離して処理されます。本番環境、テスト環境、開発環境は、互いに厳格に分離されています。

d) 可用性および耐障害性（GDPR第32条第1項b号およびc号）

• 可用性：委託処理者は、システムの可用性を確保するために、業界標準の適切な措置を講じます（Hetzner Online GmbH でのホスティング）。ただし、明示的な SLA による可用性は保証されず、インフラストラクチャの完全な冗長性は存在しません。
• 負荷耐性：システムアーキテクチャは、通常、予想されるセッション量を確実に処理できるよう設計されている。ただし、専用のロードバランシングや自動スケーリング（Auto-Scaling）メカニズムは採用されていない。
• 復旧性：委託処理者は、技術的なインシデント発生時にデータの復旧を可能にするため、適切な措置（例：データベースの定期的なバックアップ）を講じます。ただし、データ損失のない復旧は保証されないため、管理者は、利用可能なエクスポート機能を自己責任で活用することが求められます。

e) 定期的な検証の手順（GDPR第32条第1項d号）

• 委託処理者は、講じられた技術的および組織的措置の有効性を定期的に内部で検証する。
• 法的枠組みに基づき潜在的なインシデントに対処できるよう、セキュリティインシデントへの対応（インシデント・レスポンス）に関する内部プロセスが整備されている。
• TOMsは継続的な改善プロセスの対象となります。

8.3 TOMsの適応 技術的および組織的措置は、技術の進歩およびさらなる発展の対象となります。委託処理者は、定められた措置のセキュリティレベルを下回らない限り、代替となる適切な措置を実施する権利を有します。重要な変更については、責任者に書面で通知しなければなりません。

第9条 再委託処理者

9.1 再委託処理者の選定 データ管理者は、本契約により、データ処理者に対し、他のデータ処理者（再委託処理者）を関与させることについて、一般的な書面による承認（GDPR第28条第2項）を与える。 委託処理者は、下請け処理者を慎重に選定し、本契約に定められたものと同等のデータ保護義務を契約上課すことを確保する（GDPR第28条第4項）。

9.2 現在承認されている 再委託先本契約締結時点で、以下の再委託先はBiscotti CMPサービスの提供に従事しており、データ管理者により承認されたものとみなされる。委託処理者は、EUのデータ保護水準を維持するため、米国プロバイダーについては、それぞれのEU支社が契約当事者として機能することを確保している：

サービス／プロバイダー	契約相手および所在地	処理の目的	処理場所
Hetzner Online GmbH	Hetzner Online GmbH、70 Sir John Rogerson’s Quay、ダブリン 2、アイルランド	ホスティング、サーバーインフラ、データベース	欧州連合
Alibaba Cloud Model Studio（Qwen）	Alibaba (Netherlands) B.V.、Herengracht 448, 1017 CA アムステルダム、オランダ	法的文書のAIによる生成およびその翻訳（Legal Suite）	フランクフルト・アム・マイン、ドイツ（eu-central-1）— EU
Google Analytics 4 および Google Ads	Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, アイルランド	ユーザー行動の分析、マーケティング	EU / EEA
Stripe	Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, アイルランド	決済処理、サブスクリプション管理	EU / EEA
Resend	Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA [SCCsにより保護]	メール配信（取引メール、パスワードリセット）	米国 / EU
Cloudflare Turnstile	Cloudflare Germany GmbH, Rosental 7, 80331 ミュンヘン, ドイツ	ボット対策、DDoS防御、WAF	グローバル
WhatsApp Business	WhatsApp Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, アイルランド	カスタマーサービス、サポートコミュニケーション	EU / EEA

9.3 第三国への移転 欧州連合（EU）または欧州経済領域（EEA）域外の再委託処理業者による処理が行われる場合（例：Resend）、処理業者は、GDPR第44条以降の特別な要件が満たされていることを確保するものとします。 これは通常、EU委員会の最新の標準契約条項（SCC）の締結に加え、移転影響評価（Transfer Impact Assessment）の実施および追加的な技術的措置（例：暗号化）の導入によって行われる。

9.4 新たな下請処理業者の変更または追加処理業者の追加 処理業者は、下請処理業者の追加または交代に関するいかなる変更の予定についても、管理者に通知するものとします。通知は、書面（例：アカウントに登録されたメールアドレスへの電子メール）により、変更予定日の少なくとも30日前に行われるものとします。 管理者は、データ保護法上の正当な理由がある場合、通知受領後14日以内に当該変更に異議を申し立てることができる。異議が申し立てられない場合、変更は承認されたものとみなされる。 正当な異議があり、かつ委託処理者が合理的な措置によってこれを解消できない場合、管理者は、変更の発効時に主契約を特別に解除する権利を有する。

第10条 データ主体の権利に関する支援

10.1 支援義務 委託処理者は、可能な限り適切な技術的および組織的措置を講じ、データ管理者が、GDPR第III章に規定されるデータ主体の権利（GDPR第15条から第22条）の行使を求める申請に応じる義務を履行できるよう支援する（GDPR第28条第3項e号）。

10.2 Biscotti CMPにおける技術的実装 Biscotti CMPは、管理者の義務を技術的に支援することを目的としています：

• 情報開示権（GDPR第15条）およびデータポータビリティ権（GDPR第20条）：本ソフトウェアはデータエクスポート機能（例：CSV形式）を提供しており、また、特定の同意IDのエクスポートについては、データ保護に準拠した形でサポートに依頼することができます。
• 撤回権（GDPR第7条第3項）：Biscotti CMPの同意バナーには、エンドユーザーが設定内容を確認し、いつでも同意を撤回できる機能が備わっています。
• 消去権（GDPR第17条）：収集されたデータは、ダッシュボードに用意された機能を通じて管理者によって消去されるか、またはサポートに連絡して消去を依頼することができます（その際、依頼の記録が残るよう手配されます）。

10.3 問い合わせの転送 データ主体が処理委託業者に対して直接権利を行使した場合、処理委託業者は自らその問い合わせに回答せず、入手可能なデータに基づいてデータ主体をデータ管理者に特定できる限り、直ちにデータ主体をデータ管理者に案内します。処理委託業者は、当該問い合わせを直ちにデータ管理者に転送します。

第11条 データ保護影響評価（DPIA）および報告義務に関する支援

11.1 データ保護影響評価（GDPR第35条） 委託処理者は、処理の種類および利用可能な情報を考慮し、GDPR第35条に基づくデータ保護影響評価（DPIA）の実施、ならびに必要に応じて監督当局への事前の相談（GDPR第36条）において、管理者を支援する。

11.2 個人データの保護侵害の通知 委託処理者は、委託処理の対象となるデータに関連する個人データの保護侵害（データ漏洩）が発生した場合、その事実を知った後、遅くとも48時間以内に、書面により管理者に直ちに通知する義務を負う。

第12条 データの消去および返還

12.1 契約終了後の消去 処理サービスの提供が完了した後 （主契約の終了）後、EU法または加盟国の法（例：ドイツ商法（HGB）および税法（AO）に基づく商法上および税法上の保存義務）により個人データの保存義務が存在しない限り、委託処理者は、管理者の選択に従い、すべての個人データを消去するか、または返還する義務を負う。

12.2 Biscotti CMPの標準プロセス データ管理者が別段の指示を出さない限り、以下の標準プロセスが適用される：データ管理者は、契約終了前にエクスポート機能（CSV）を使用して、自らデータをバックアップすることができる。解約が効力を生じ、請求期間が終了した後、データ管理者のアカウントは無効化される。 アカウントに保存された個人データは、誤ってダウングレードされた場合に復元が可能となるよう、30日間の移行期間（保存期間）にわたり保持されます。この30日間の経過後、データは取り消し不能かつデータ保護法に準拠した方法で、本番システムから削除されます。

12.3 削除の確認 委託処理者は、管理者の明示的な要請があった場合、データ保護法に準拠したデータの削除を文書にて管理者に確認する。

第13条 監査権および監査

13.1 検証権 委託処理者は、GDPR第28条および本契約に規定された義務の遵守を証明するために必要なすべての情報を、管理者に提供する。また、管理者または管理者が任命し、守秘義務を負う監査人によって実施される検証（検査を含む）を可能にし、これに協力する。

13.2 監査の実施 データセンターのセキュリティおよび他の顧客のデータの機密性（クライアント分離）を損なわないよう、当事者は監査について以下の手順に合意する。

• 責任者は、主に、有効な認証書（例：ISO 27001）の提出および評価、あるいはITセキュリティに関する詳細な質問票を通じて、その監査権を行使する。
• これらの情報が不十分な場合、責任者は、Campcruisers GmbH（Berliner Str. 21 B, 14612 Falkensee）の事業所において、現地検査を実施する権利を有する。
• 現地検査は、適切な事前通知期間（原則として少なくとも14日間）をもって通知されるものとします。

第14条 責任および損害賠償

14.1 対外関係（データ主体に対するもの） 損害賠償について、責任者と委託処理者は、GDPR第82条の規定に基づき、データ主体に対して責任を負う。委託処理者は、処理によって生じた損害について、GDPRに基づく義務を履行しなかった場合、または責任者から適法に与えられた指示に違反した場合に限り、責任を負う。

14.2 当事者間の関係（当事者間） 当事者間の関係において、当事者の一方が、損害が発生した事由についていかなる点においても責任を負わないことを立証した場合、当該当事者は責任を免れるものとする。

14.3 本契約に基づく責任の制限 これに加え、本契約（一般取引条件）の責任規定が適用される。軽過失による責任は、重要な契約上の義務（本質的義務）の違反である場合を除き、免除される。この場合、責任は当該契約に典型的な、予見可能な損害に限定される。

第15条 最終規定

15.1 書面による形式および変更 本契約の変更および追加は、書面（例：電子メール）によるものとする。委託処理業者は、法的な状況の変化または技術的進展に合わせて本契約を変更する権利を留保する。変更については、電子メールによりデータ管理者に通知される。

15.2 優先順位 本委託処理契約の個々の規定が、主契約（一般取引条件）の規定と矛盾する場合、データ保護およびデータセキュリティに関しては、本委託処理契約の規定が優先する。

15.3 分離条項 本契約の個々の条項が無効または履行不能である、あるいはそのようになった場合でも、それによって残りの条項の有効性には影響を及ぼさないものとする。当事者は、無効または履行不能な条項を、有効かつ履行可能な条項に置き換えることを約束する。

15.4 準拠法および管轄裁判所 本契約は、国連国際物品売買契約条約（CISG）を排除し、ドイツ連邦共和国の法律のみに準拠する。本契約に起因または関連するすべての紛争について、法律で許容される範囲において、専属的管轄裁判所は、データ処理委託者の所在地（ファルケンゼー）とする。契約言語はドイツ語とする。