Databehandleravtale

Behandlingsavtale (AVV) i henhold til artikkel 28 i GDPR

Stand: 20.03.2026

Mellom

den registrerte kunden til Biscotti CMP – heretter kalt «den behandlingsansvarlige» eller «kunden» –

og

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Forbundsrepublikken Tyskland

Registreringsdomstol: Amtsgericht Potsdam Registreringsnummer: HRB 40180 P MVA-nummer: DE368000447 Skattenummer: 29/249/36095 Representert av: Daniel Bosch (CEO), Philipp André Marschall (prokurist) E-post: [email protected] Telefon: +49 3322 50703301 Åpningstider: man–fre, kl. 09:00–17:00 – heretter kalt «databehandler» eller «leverandør» –

– den behandlingsansvarlige og databehandleren, heretter samlet kalt «partene» –

Innledning

Hjertelig velkommen til Campcruisers GmbH! Vi er svært glade for å kunne ønske deg velkommen som kunde. Åpenhet, høyeste sikkerhetsstandarder og et partnerskap på like fot står hos oss i første rekke. Beskyttelsen av dine data og dataene til besøkende på nettstedet ditt er for oss ikke bare en lovpålagt forpliktelse, men et sentralt kvalitetsløfte fra vårt selskap.

Den behandlingsansvarlige bruker den skybaserte Software-as-a-Service (SaaS)-løsningen «Biscotti CMP» (Consent Management Platform), som er utviklet, driftet og distribuert av databehandleren. I forbindelse med levering av disse SaaS-tjenestene, som tilbys under domenet biscotti-cmp.com samt applikasjonen app.biscotti-cmp.com, behandler databehandleren personopplysninger på vegne av og etter instruks fra den behandlingsansvarlige. Denne avtalen konkretiserer partenes forpliktelser i henhold til personvernlovgivningen som følger av bruken av Biscotti CMP. Den gjelder for alle aktiviteter som er knyttet til hovedavtalen (bruksavtalen om SaaS-tjenestene) og hvor ansatte hos databehandleren eller tredjeparter som er engasjert av denne, kan komme i kontakt med den behandlingsansvarliges personopplysninger.

Denne avtalen er absolutt nødvendig for å oppfylle kravene i forordning (EU) 2016/679 (personvernforordningen – GDPR), særlig art. 28 i GDPR, samt de supplerende bestemmelsene i den tyske personvernloven (BDSG) og loven om personvern i telekommunikasjon og digitale tjenester (TDDDG).

[!NOTE] Inngåelse av avtale i elektronisk handel Denne avtalen inngås i elektronisk format i henhold til art. 28 nr. 9 i GDPR. Ved påmelding/registrering hos den ansvarlige er den en integrert del av de generelle forretningsvilkårene (AGB) til Biscotti CMP. Kontraktinngåelsen skjer ved uttrykkelig elektronisk samtykke i forbindelse med registreringen (f.eks. ved å klikke på en bekreftelsesknapp) og krever ingen separat, håndskrevet underskrift for å være gyldig og juridisk bindende.

§ 1 Formål og varighet av behandlingen

1.1 Formålet med behandlingen Behandleren leverer tjenester til den behandlingsansvarlige innenfor området samtykkestyring (Consent Management) og automatisering av personvernsrelatert compliance. Formålet med behandlingen av personopplysninger fremgår av hovedavtalen inngått mellom partene om bruk av Biscotti CMP. Behandlingen omfatter alle datarelaterte prosesser som er nødvendige for å levere de avtalte programvarefunksjonene. Dette inkluderer særlig, men ikke utelukkende:

• Tilgjengeliggjøring og levering av samtykkebannere (cookie-bannere) på den behandlingsansvarliges nettsider.
• Registrering, lagring, administrasjon og dokumentasjon av samtykkebeslutninger (samtykke/avslag) fra sluttbrukerne (nettstedsbesøkende) hos den ansvarlige i henhold til art. 7 nr. 1 i GDPR og § 25 nr. 1 i TDDDG.
• Gjennomføring av AI-støttede cookie-skanninger på den ansvarliges nettsider for å identifisere og kategorisere sporingsteknologier og sammenligne disse med IAB-leverandørdatabasen.
• Behandling av signaler innenfor rammen av Google Consent Mode v2, IAB Transparency & Consent Framework (TCF 2.4) samt Global Privacy Control (GPC).
• IP-basert identifisering av nettstedsbesøkerens jurisdiksjon for dynamisk visning av lovkonforme bannervarianter (f.eks. GDPR, CCPA/CPRA).
• AI-støttet generering av juridiske tekster (impressum, personvernerklæring, cookie-policy) via den integrerte Legal Suite-assistenten ved bruk av Alibaba Cloud Qwen.
• Tilgjengeliggjøring av revisjonslogger (audit-logger), webhooks for varsling i sanntid, A/B-testfunksjonaliteter samt dataeksportfunksjoner for å oppfylle de registrertes rettigheter i henhold til art. 15 i GDPR.
• Administrasjon av underkontoer for byråer innenfor rammen av «Agency»-tariffen, inkludert klientadministrasjon og white label-merkevarebygging.

1.2 Varighet av behandlingen Varigheten av denne databehandleravtalen er avhengig av varigheten av den underliggende hovedavtalen om bruk av Biscotti CMP. Avtalen trer i kraft ved registrering av den behandlingsansvarlige og aktivering av kontoen (for gratis abonnementer) eller ved bekreftelse av betaling (for betalte abonnementer som Starter, Growth, Business, Agency). Den opphører automatisk ved opphør av hovedavtalen, uansett rettslig grunn (f.eks. ved ordinær oppsigelse, ekstraordinær oppsigelse eller sletting av kontoen). Oppsigelsestiden for hovedavtalen er 1 dag før utløpet av den aktuelle faktureringsperioden. Bestemmelser i denne avtalen som i sin natur skal gjelde utover oppsigelsen (spesielt regler om sletting og tilbakelevering av data samt ansvarsforhold), påvirkes ikke av oppsigelsen.

§ 2 Art og formål med behandlingen

2.1 Art av behandlingen Arten av behandlingen omfatter innsamling, registrering, organisering, ordning, lagring, tilpasning eller endring, utlesing, søking, bruk, utlevering ved overføring, spredning eller annen form for tilgjengeliggjøring, sammenstilling eller kobling, begrensning, sletting eller destruksjon av data. Behandlingen skjer primært automatisert i databehandlerens skyinfrastruktur (f.eks. hostet på Hetzner Online GmbH, med serverlokalisering typisk i Den europeiske union).

2.2 Formålet med behandlingen Formålet med behandlingen er utelukkende å oppfylle de kontraktsmessige forpliktelsene som følger av hovedkontrakten. Dette omfatter:

• Bevisbarhet for samtykke: Lagring av samtykkedata for å oppfylle den behandlingsansvarliges ansvar i henhold til art. 5 nr. 2 i forbindelse med art. 7 nr. 1 i GDPR.
• Teknisk tilgjengeliggjøring: Visning av samtykkebanneret og sikring av funksjonaliteten til den behandlingsansvarliges nettsted under hensyntagen til brukerpreferanser.
• Compliance-analyse: Automatisert kontroll av den behandlingsansvarliges nettsider for personvernrisikoer (cookie-skanner).
• Utarbeidelse av juridiske tekster: Behandling av den behandlingsansvarliges bedrifts- og kontaktdata for AI-støttet utarbeidelse av skreddersydde juridiske tekster.
• Fakturering og kontoadministrasjon: Administrasjon av brukerkontoer, tildeling av sesjonsgrenser (f.eks. 5 000 sesjoner i gratisabonnementet, 500 000 i Business-abonnementet) og håndtering av sesjonsoverføringer.
• Agenturadministrasjon: Muliggjøring av administrasjon av opptil 25 underkontoer i Agency-abonnementet, inkludert tilgjengeliggjøring av forhandlersider og e-postutsendingsfunksjoner.

Behandling av dataene til databehandlerens egne formål, særlig til egne reklameformål eller til opprettelse av brukerprofiler som går utover den avtalte tjenesteleveransen, er strengt forbudt, med mindre det foreligger en uttrykkelig lovlig tillatelse eller et separat samtykke.

§ 3 Type personopplysninger

I forbindelse med databehandlingen behandles følgende kategorier av personopplysninger. Den behandlingsansvarlige fastsetter selv det nøyaktige omfanget av opplysningene gjennom sin bruk av Biscotti CMP og konfigurasjonen av programvaren:

• Samtykkedata: Beslutninger (samtykke/avslag for ulike kategorier som essensielle, funksjonelle, analyse, markedsføring, AI-tjenester), tidsstempel (dato og nøyaktig klokkeslett for samtykket), unikt identifikasjonsnummer (for pseudonym tilordning av beslutningen til den respektive enheten/nettleseren).
• Tekniske data: IP-adresser (behandles primært for stedsbasert gjenkjenning av jurisdiksjon og anonymiseres/trives som regel umiddelbart, med mindre den ansvarlige har valgt en annen konfigurasjon), nettleserinformasjon, enhetsinformasjon, brukeragentstrenger, sesjonsdata.
• Cookie- og sporingsdata: Skanningsresultater fra den ansvarliges nettsider, inkludert funnet cookies, lokalt lagringsinnhold, tredjepartssporere og deres klassifisering.
• AI-generert innhold: Data som den ansvarlige legger inn i Legal Suite-assistenten for å generere juridiske tekster (personvernerklæring, impressum, vilkår og betingelser). Dette kan omfatte bedriftsdata, navn på representanter, adresser og spesifikke behandlingsaktiviteter som behandles via Alibaba Cloud Model Studio (Qwen) API.
• Kontaktopplysninger (kontoinnehaver): For- og etternavn, e-postadresse, firmanavn, adresse, telefonnummer, momsregistreringsnummer (MVA-nr.) til kunder eller kontoinnehavere.
• Bruksdata: Dashboard-aktiviteter, bannerstatistikk (visninger, interaksjoner, akseptrater), samsvarsrapporter, logger over kontoendringer.
• Betalingsdata: Faktureringsinformasjon som behandles via betalingstjenesteleverandøren Stripe (hvor kredittkortdata tokeniseres direkte hos Stripe og ikke lagres i klartekst hos databehandleren).

§ 4 Kategorier av registrerte

Behandlingen gjelder følgende kategorier av registrerte:

• Nettstedsbesøkende (sluttbrukere): Fysiske personer som besøker den behandlingsansvarliges nettsider, og hvis samtykke blir innhentet, behandlet og lagret via Biscotti CMP-banneret.
• Kunder (kontoinnehavere): Fysiske personer, enkeltpersonforetak eller representanter for juridiske personer som har registrert en konto hos Biscotti CMP som kontraktspartner til databehandleren.
• Teammedlemmer og ansatte: Personer som er invitert av kontoinnehaveren (den behandlingsansvarlige) som tilleggsbrukere til Biscotti CMP-dashbordet for å administrere systemet.
• Kunder fra byråer (underkontoinnehavere): Sluttkunder fra byråer som bruker «Agency»-tariffen og som det er opprettet underkontoer for.

§ 5 Den behandlingsansvarliges plikter og rettigheter

5.1 Lovligheten av behandlingen Den ansvarlige er alene ansvarlig for å vurdere lovligheten av den bestilte behandlingen samt for å ivareta rettighetene til de berørte personene (art. 4 nr. 7 i GDPR). Den behandlingsansvarlige sikrer at det foreligger et gyldig rettslig grunnlag (f.eks. samtykke i henhold til art. 6 nr. 1 bokstav a i GDPR eller berettiget interesse i henhold til art. 6 nr. 1 bokstav f i GDPR) for behandlingen av personopplysningene av databehandleren. Dette gjelder særlig bruken av Biscotti CMP for innhenting av samtykke i henhold til § 25 nr. 1 TDDDG.

5.2 Informasjonsplikt Den behandlingsansvarlige har det fulle ansvaret for å informere de registrerte (spesielt besøkende på nettstedet) om databehandlingen på en transparent, presis og rettidig måte i henhold til art. 13 og art. 14 i GDPR. Databehandleren stiller den behandlingsansvarlige til rådighet den nødvendige tekniske informasjonen om hvordan Biscotti CMP fungerer, samt maltekster via Legal Suite-assistenten. Den juridiske gjennomgangen og integreringen av personvernerklæringen påligger den behandlingsansvarlige.

5.3 Bruk av byrå og forhandler Hvis den behandlingsansvarlige bruker «Agency»-tariffen og oppretter underkontoer for sine egne kunder, forblir den behandlingsansvarlige den eneste avtalepartneren og den behandlingsansvarlige i forhold til databehandleren. Den behandlingsansvarlige garanterer at han har de nødvendige avtaleforholdene (inkludert egne databehandleravtaler) med sine sluttkunder. Hvis den behandlingsansvarlige oppretter en forhandlerside eller bruker egne e-postservere under eget domene, bærer han det eneansvaret i henhold til personvern- og konkurranselovgivningen for denne infrastrukturen. Databehandleren påtar seg ikke noe ansvar for dette.

5.4 Melding av feil Den behandlingsansvarlige skal umiddelbart og fullstendig informere databehandleren dersom han ved gjennomgang av oppdragsresultatene oppdager feil eller uregelmessigheter med hensyn til personvernbestemmelser.

§ 6 Den behandlingsansvarliges rett til å gi instrukser

6.1 Art og omfang av instruksene Behandleren behandler personopplysninger utelukkende etter dokumenterte instrukser fra den behandlingsansvarlige, med mindre han er forpliktet til dette i henhold til EU-retten eller medlemsstatenes rett som han er underlagt (art. 28 nr. 3 bokstav a i GDPR). I et slikt tilfelle skal databehandleren informere den behandlingsansvarlige om dette lovkravet før behandlingen, med mindre den aktuelle lovgivningen forbyr en slik melding på grunn av et viktig offentlig interesse.

Hovedavtalen samt disse AVV utgjør den innledende dokumenterte instruksjonen. Den behandlingsansvarliges bruk av funksjonene i Biscotti CMP (f.eks. konfigurering av banneret, igangsetting av en skanning, generering av tekster) i dashbordet regnes som en dokumentert enkeltinstruksjon.

6.2 Instruksjonenes form Instruksjoner kan som regel gis via programvarens (applikasjonens) brukergrensesnitt. Instruksjoner utover dette skal gis i skriftlig form (f.eks. via e-post til [email protected]). Muntlige instruksjoner skal umiddelbart bekreftes skriftlig av den behandlingsansvarlige.

6.3 Innvendinger mot instruksjoner Behandleren skal umiddelbart informere den ansvarlige dersom han mener at en instruksjon strider mot GDPR, BDSG eller andre personvernbestemmelser i Unionen eller medlemsstatene. Behandleren har rett til å utsette gjennomføringen av den aktuelle instruksjonen inntil den er bekreftet eller endret av den ansvarlige. Databehandleren kan avvise instrukser som åpenbart er ulovlige.

§ 7 Konfidensialitetsforpliktelse

7.1 Forpliktelse for ansatte Behandleren bekrefter at han har pålagt alle personer som er autorisert til å behandle den behandlingsansvarliges personopplysninger (ansatte, frilansere, organer) taushetsplikt før de påbegynner arbeidet (art. 28 nr. 3 bokstav b i GDPR) eller at disse er underlagt en tilsvarende lovfestet taushetsplikt. Denne forpliktelsen omfatter også datakonfidensialitet og gjelder også etter at oppdraget eller ansettelsesforholdet er avsluttet.

7.2 Opplæring og bevisstgjøring Databehandleren sikrer at personer som er autorisert til å behandle opplysninger, regelmessig blir opplært og bevisstgjort om bestemmelsene om personvern (GDPR, BDSG) og datasikkerhet. Databehandleren, representert av ledelsen (Daniel Bosch, Philipp André Marschall), sørger for en bedriftskultur som er i samsvar med personvernet.

7.3 Personvernombud Behandleren har, i den grad det er lovpålagt i henhold til § 38 nr. 1 BDSG eller art. 37 GDPR (f.eks. ved som regel minst 20 personer som kontinuerlig er engasjert i automatisert behandling), utnevnt et kompetent og pålitelig personvernombud.

Dersom det ikke foreligger noen lovpålagt plikt til å utpeke en slik person, sikrer databehandleren likevel at forpliktelsene i henhold til personvernlovgivningen overvåkes og overholdes fullt ut av ledelsen.

§ 8 Tekniske og organisatoriske tiltak (TOM) i henhold til art. 32 i GDPR

8.1 Prinsippet om sikker behandling Behandleren erklærer bindende at han, under hensyntagen til den tekniske utviklingen, implementeringskostnadene og arten, omfanget, omstendighetene og formålene med behandlingen samt den varierende sannsynligheten for og alvorlighetsgraden av risikoen for fysiske personers rettigheter og friheter, har truffet egnede tekniske og organisatoriske tiltak (TOM) for å sikre et beskyttelsesnivå som står i forhold til risikoen (art. 32 i GDPR). Disse tiltakene er basert på anerkjente IT-sikkerhetsstandarder (som ISO 27001 og SOC 2).

8.2 Konkrete tiltak Behandleren skal særlig iverksette følgende tiltak og opprettholde disse gjennom hele avtaleperioden:

a) Pseudonymisering og kryptering (art. 32 nr. 1 bokstav a i GDPR)

• Kryptering ved overføring: All dataoverføring mellom sluttbrukeren, den behandlingsansvarlige og Biscotti CMP-infrastrukturen skjer obligatorisk via de nyeste krypteringsprotokollene (TLS 1.2 eller TLS 1.3).
• Kryptering i hvile: Alle databaser og lagringsmedier på Hetzner Online GmbH (serverlokalisering NL) er kryptert på harddisknivå (AES-256).
• Pseudonymisering: Samtykkebeslutninger knyttes ikke til navn, men til et tilfeldig generert, kryptografisk identifikasjonsnummer. IP-adresser forkortes/anonymiseres som standard så snart den stedsbaserte tilordningen er fullført.

b) Konfidensialitet (tilgangs- og adgangskontroll)

• Adgangskontroll: Den fysiske sikkerheten til serverne som brukes, sikres av den eksterne infrastrukturleverandøren (f.eks. Google Cloud). Datasentrene er underlagt strenge, bransjestandardiserte adgangs- og sikkerhetskontroller. Campcruisers GmbHs egne kontorlokaler er sikret med passende fysiske adgangsbegrensninger (f.eks. sikkerhetslåser).
• Tilgangskontroll: Tilgangen til databehandlerens IT-systemer er sikret gjennom restriktive passordretningslinjer, multifaktorautentisering (MFA) for relevante administrative tilganger samt tidsavbrudd for økter. Systemer som Cloudflare Turnstile benyttes for å beskytte innloggingsforsøk mot bot-angrep.
• Tilgangskontroll: Prinsippet om minimal rettighetstildeling (Role-Based Access Control – RBAC) gjelder. Ansatte hos databehandleren har kun tilgang til de dataene som er strengt nødvendige for deres respektive oppgaver. Kundedataene for de ulike prisplanene er logisk adskilt fra hverandre (klientfunksjonalitet).

c) Integritet (kontroll av videreformidling, innlegging og separasjon)

• Kontroll av videreformidling: Data overføres ikke på fysiske datamedier. Overføringen skjer utelukkende via sikre nettverk.
• Inndatakontroll: Biscotti CMP har en omfattende revisjonslogg (audit-logg). Det er til enhver tid mulig å spore hvilken bruker (kunde, teammedlem, byrå) som har foretatt hvilke endringer i dashbordet på hvilket tidspunkt (f.eks. endring av bannertekster, tilpasning av cookiekategorier).
• Separasjonskontroll: Data som er samlet inn til ulike formål, behandles separat. Produksjons-, test- og utviklingsmiljøer er strengt isolert fra hverandre.

d) Tilgjengelighet og robusthet (art. 32 nr. 1 bokstav b og c i GDPR)

• Tilgjengelighet: Behandleren iverksetter bransjestandard, rimelige tiltak for å sikre systemenes tilgjengelighet (hosting på Hetzner Online GmbH). Det garanteres imidlertid ingen eksplisitte SLA-tilgjengeligheter, og det foreligger ingen fullstendig redundans i infrastrukturen.
• Belastbarhet: Systemarkitekturen er utformet slik at forventede sesjonsvolumer som regel behandles pålitelig. Det benyttes imidlertid ikke dedikert lastbalansering eller automatiske skaleringsmekanismer (autoskalering).
• Gjenopprettbarhet: Behandleren treffer rimelige forholdsregler (f.eks. regelmessige sikkerhetskopier av databasene) for å muliggjøre gjenoppretting av dataene i tilfelle en teknisk hendelse. Det gis imidlertid ingen garanti for tapfri gjenoppretting, og derfor oppfordres den behandlingsansvarlige til å bruke de eksportfunksjonene som står til rådighet på eget ansvar.

e) Prosedyrer for regelmessig gjennomgang (art. 32 nr. 1 bokstav d i GDPR)

• Databehandleren kontrollerer regelmessig internt effektiviteten av de tekniske og organisatoriske tiltakene som er iverksatt.
• Det finnes interne prosesser for håndtering av sikkerhetshendelser (Incident-Response) for å kunne håndtere potensielle hendelser innenfor lovens rammer.
• TOM-ene er underlagt en kontinuerlig forbedringsprosess.

8.3 Tilpasning av TOM-ene De tekniske og organisatoriske tiltakene er underlagt teknisk fremgang og videreutvikling. Behandleren har rett til å iverksette alternative adekvate tiltak, forutsatt at sikkerhetsnivået ikke blir lavere enn det som er fastsatt i de fastlagte tiltakene. Vesentlige endringer skal meddeles den behandlingsansvarlige skriftlig.

§ 9 Underbehandlere

9.1 Engasjering av underdatabehandlere Den behandlingsansvarlige gir herved databehandleren generell skriftlig tillatelse (art. 28 nr. 2 i GDPR) til å engasjere ytterligere databehandlere (underdatabehandlere). Behandleren sikrer at han velger underbehandlere med omhu og pålegger disse de samme personvernforpliktelser som er fastsatt i denne avtalen (art. 28 nr. 4 i GDPR).

9.2 Nylig godkjente underdatabehandlere Ved inngåelse av avtalen er følgende underdatabehandlere aktive i leveringen av Biscotti CMP-tjenestene og anses som godkjent av den behandlingsansvarlige. Behandleren har sikret at det er den respektive EU-filialen som fungerer som avtalepartner for amerikanske leverandører, for å opprettholde EUs personvernnivå:

9.3 Overføring til tredjeland Hvis behandling utføres av underdatabehandlere utenfor Den europeiske union (EU) eller Det europeiske økonomiske samarbeidsområdet (EØS) (f.eks. hos Resend), sikrer databehandleren at de spesielle kravene i art. 44 ff. i GDPR er oppfylt. Dette skjer vanligvis ved inngåelse av EU-kommisjonens gjeldende standardkontraktsklausuler (SCC) i forbindelse med en konsekvensanalyse av overføringen (Transfer Impact Assessment) og implementering av ytterligere tekniske tiltak (f.eks. kryptering).

9.4 Bytte eller innleie av nye underdatabehandlere Databehandleren skal informere den behandlingsansvarlige om enhver planlagt endring med hensyn til innleie eller erstatning av underdatabehandlere. Informasjonen skal gis skriftlig (f.eks. via e-post til adressen som er oppgitt i kontoen) minst 30 dager før den planlagte endringen. Den behandlingsansvarlige kan motsette seg endringen av viktige personvernmessige grunner innen 14 dager etter mottak av meldingen. Hvis det ikke kommer noen innsigelse, anses endringen som godkjent. I tilfelle av en berettiget innsigelse som databehandleren ikke kan avhjelpe ved hjelp av rimelige tiltak, har den behandlingsansvarlige rett til å si opp hovedavtalen med umiddelbar virkning fra det tidspunktet endringen trer i kraft.

§ 10 Støtte vedrørende de registrertes rettigheter

10.1 Støtteplikt Behandleren skal så langt det er mulig støtte den behandlingsansvarlige med egnede tekniske og organisatoriske tiltak for å oppfylle dennes plikt til å besvare forespørsler om utøvelse av de berørte personers rettigheter nevnt i kapittel III i GDPR (art. 15 til 22 i GDPR) (art. 28 nr. 3 bokstav e i GDPR).

10.2 Teknisk implementering i Biscotti CMP Biscotti CMP har som mål å gi den behandlingsansvarlige teknisk støtte i forbindelse med sine forpliktelser:

• Rett til innsyn (art. 15 i GDPR) og rett til dataportabilitet (art. 20 i GDPR): Programvaren tilbyr muligheter for dataeksport (f.eks. som CSV), eller man kan be support om eksport av spesifikke samtykke-ID-er i samsvar med personvernreglene.
• Rett til tilbakekalling (art. 7, avsnitt 3 i GDPR): Samtykkebanneret i Biscotti CMP gir sluttbrukere muligheten til å se innstillingene de har valgt og tilbakekalle dem når som helst.
• Rett til sletting (art. 17 i GDPR): Innsamlede data kan slettes av den behandlingsansvarlige via funksjoner som er tilgjengelige i dashbordet, eller det kan påviselig be om sletting hos support.

10.3 Videreformidling av forespørsler Hvis en berørt person gjør gjeldende sine rettigheter direkte overfor databehandleren, vil denne ikke besvare forespørselen selv, men umiddelbart henvise den berørte personen til den behandlingsansvarlige, forutsatt at det er mulig å tilordne den berørte personen til den behandlingsansvarlige på grunnlag av de foreliggende dataene. Databehandleren videresender forespørselen umiddelbart til den behandlingsansvarlige.

§ 11 Støtte ved personvernkonsekvensanalyse og rapporteringsplikt

11.1 Personvernkonsekvensanalyse (art. 35 i GDPR) Databehandleren støtter den behandlingsansvarlige, under hensyntagen til behandlingsformen og den informasjonen som er tilgjengelig for ham, ved gjennomføring av en konsekvensanalyse av personvern (DSFA) i henhold til art. 35 i GDPR, samt ved en eventuelt nødvendig forhåndskonsultasjon med tilsynsmyndigheten (art. 36 i GDPR).

11.2 Melding om brudd på personvernet Behandleren er forpliktet til å melde fra til den behandlingsansvarlige om ethvert brudd på personvernet (datainnbrudd) som berører opplysningene som behandles på oppdrag, umiddelbart, senest innen 48 timer etter at det er blitt kjent, i skriftlig form.

§ 12 Sletting og tilbakelevering av data

12.1 Sletting etter avtalens opphør Etter at leveringen av behandlingsytelsene er fullført (opphør av hovedkontrakten) er databehandleren forpliktet til, etter den behandlingsansvarliges valg, enten å slette eller returnere alle personopplysninger, med mindre det foreligger en forpliktelse til å lagre personopplysningene i henhold til EU-retten eller medlemsstatenes lovgivning (f.eks. oppbevaringsplikt i henhold til handels- og skatteretten i henhold til HGB og AO).

12.2 Standardprosess for Biscotti CMP Med mindre den behandlingsansvarlige gir andre instrukser, gjelder følgende standardprosess: Den behandlingsansvarlige har muligheten til å sikkerhetskopiere sine data selv før kontraktens utløp ved hjelp av eksportfunksjonen (CSV). Etter at oppsigelsen trer i kraft og faktureringsperioden utløper, deaktiveres den behandlingsansvarliges konto. Personopplysningene som er lagret på kontoen, oppbevares i en overgangsperiode på 30 dager (oppbevaringsfrist) for å muliggjøre gjenoppretting i tilfelle en utilsiktet nedgradering. Etter utløpet av disse 30 dagene slettes dataene ugjenkallelig og i samsvar med personvernbestemmelsene fra de produktive systemene.

12.3 Bekreftelse av sletting Behandleren bekrefter overfor den ansvarlige, på dennes uttrykkelige forespørsel, at dataene er slettet i samsvar med personvernbestemmelsene, i skriftlig form.

§ 13 Kontrollrettigheter og revisjoner

13.1 Rett til kontroll Behandleren stiller all nødvendig informasjon til rådighet for den behandlingsansvarlige for å dokumentere overholdelse av forpliktelsene fastsatt i art. 28 i GDPR og i denne avtalen. Behandleren muliggjør kontroller – inkludert inspeksjoner – som utføres av den behandlingsansvarlige eller en revisor utpekt av denne og forpliktet til taushetsplikt, og bidrar til disse.

13.2 Gjennomføring av revisjoner For ikke å sette sikkerheten i datasentrene og konfidensialiteten til andre kunders data (kundeseparasjon) i fare, avtaler partene følgende fremgangsmåte for revisjoner:

• Den ansvarlige vil primært utøve sin kontrollrett ved å kreve og vurdere relevante sertifikater (f.eks. ISO 27001) eller gjennom detaljerte spørreskjemaer om IT-sikkerhet.
• Dersom denne informasjonen ikke er tilstrekkelig, har den ansvarlige rett til å gjennomføre en inspeksjon på stedet i forretningslokalene til Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• Inspeksjoner på stedet skal varsles med rimelig forhåndsvarsel (som regel minst 14 dager).

§ 14 Ansvar og erstatning

14.1 Forholdet til eksterne parter (overfor berørte personer) Den behandlingsansvarlige og databehandleren er ansvarlige for erstatning av skader overfor den berørte personen i henhold til art. 82 i GDPR. Databehandleren er kun ansvarlig for skader som oppstår som følge av behandling dersom vedkommende ikke har oppfylt sine forpliktelser i henhold til GDPR eller har handlet i strid med de lovlig gitte instruksene fra den behandlingsansvarlige.

14.2 Internt forhold (mellom partene) I det interne forholdet fritar partene seg for ansvar dersom en part kan bevise at den på ingen måte er ansvarlig for omstendighetene som førte til skaden.

14.3 Ansvarsbegrensning i henhold til hovedavtalen I tillegg gjelder ansvarsbestemmelsene i hovedavtalen (vilkårene). Ansvar for lett uaktsomhet er utelukket, med mindre det dreier seg om brudd på vesentlige avtaleforpliktelser (kardinalforpliktelser). I dette tilfellet er ansvaret begrenset til den forutsigbare skaden som er typisk for avtalen.

§ 15 Sluttbestemmelser

15.1 Skriftlig form og endringer Endringer og tillegg til denne avtalen må skje skriftlig (f.eks. via e-post). Behandleren forbeholder seg retten til å endre denne avtalen for å tilpasse den til endrede rettsforhold eller tekniske utviklinger. Den behandlingsansvarlige vil bli informert om endringer via e-post.

15.2 Rangorden Dersom enkelte bestemmelser i denne databehandleravtalen er i strid med bestemmelsene i hovedavtalen (vilkårene), har bestemmelsene i denne databehandleravtalen forrang når det gjelder personvern og datasikkerhet.

15.3 Salvatorisk klausul Dersom enkelte bestemmelser i denne avtalen er eller blir ugyldige eller umulige å gjennomføre, påvirker dette ikke gyldigheten av de øvrige bestemmelsene. Partene forplikter seg til å erstatte den ugyldige eller umulige bestemmelsen med en gyldig og gjennomførbar bestemmelse.

15.4 Gjeldende lov og jurisdiksjon Denne avtalen er utelukkende underlagt lovgivningen i Forbundsrepublikken Tyskland, med unntak av FNs kjøpslov. Eksklusiv jurisdiksjon for alle tvister som oppstår fra eller i forbindelse med denne avtalen er, i den grad loven tillater det, databehandlerens hjemsted (Falkensee). Avtalespråket er tysk.