Personvernerklæring

1. Behandlingsansvarlig og personvernombud

1.1 Behandlingsansvarlig (artikkel 4 nr. 7 DSGVO)

Behandlingsansvarlig for behandlingen av personopplysninger i forbindelse med driften av nettstedet biscotti-cmp.com, applikasjonen app.biscotti-cmp.com og alle tilknyttede tjenester er:

Campcruisers GmbH
Berliner Str. 21 B
14612 Falkensee
Tyskland

Representert ved: Daniel Bosch (Administrerende direktør / CEO)
Også representasjonsberettiget: Philipp André Marschall (Prokurist)

1.2 Personvernombud

Dersom det foreligger en lovpålagt plikt til å utpeke et personvernombud i henhold til § 38 avsnitt 1 BDSG eller artikkel 37 DSGVO, vil dette bli utpekt og kontaktopplysningene publisert her. Uavhengig av dette sikrer ledelsen (Daniel Bosch, Philipp André Marschall) fullstendig overvåking og overholdelse av personvernrettslige forpliktelser.

For alle personvernrelaterte henvendelser, vennligst kontakt:
E-post: [email protected]
Telefon: +49 3322 50703301
Kontortider: Mandag til fredag, 10:00–17:00 (MEZ/MESZ)

2. Oversikt over behandlingsaktiviteter

Biscotti CMP er en omfattende plattform for samtykkestyring og juridisk etterlevelse. I forbindelse med driften av plattformen behandler vi personopplysninger innenfor følgende områder:

• Registrering og kontoadministrasjon (Avsnitt 3)
• Bruk av SaaS-plattformen / dashbordet (Avsnitt 4)
• Samtykkedata fra våre kunders nettstedsbesøkende (Avsnitt 5)
• Cookie-skanner (Avsnitt 6)
• Legal Suite — AI-tekstgenerering (Avsnitt 7)
• Legal Sync — Overvåking av lovendringer (Avsnitt 8)
• Policy-revisjon — Nettsted-skraping og AI-analyse (Avsnitt 9)
• Advokatmarkedsplass (Avsnitt 10)
• Byrå- og White-Label-funksjoner (Avsnitt 11)
• Nyhetsbrev (Avsnitt 12)
• Review Rewards-program (Avsnitt 13)
• Betalingsbehandling (Avsnitt 14)
• GeoIP-gjenkjenning (Avsnitt 15)
• Bot-gjenkjenning (Avsnitt 16)
• Sesjonssporing (Avsnitt 17)
• Sikkerhetskopier (Avsnitt 18)
• Hosting og infrastruktur (Avsnitt 19)
• Informasjonskapsler og lokal lagring på biscotti-cmp.com (Avsnitt 20)

For hver behandlingsaktivitet er formålet, rettsgrunnlaget, kategoriene av behandlede data, mottakerne og lagringsperioden angitt nedenfor.

3. Registrering og kontoadministrasjon

3.1 Registrering og konto-opprettelse

Formål: Opprettelse og administrasjon av din brukerkonto for bruk av Biscotti CMP-plattformen.

Rettsgrunnlag: Artikkel 6 avsnitt 1 bokstav b DSGVO (Oppfyllelse av avtale — registreringen er en forutsetning for bruk av SaaS-plattformen).

Kategorier av behandlede data:

• E-postadresse (obligatorisk)
• Passord (lagres som en kryptografisk hash, aldri i klartekst)
• Fornavn, etternavn (valgfritt)
• Firmanavn (valgfritt)
• Kontospråk (automatisk gjenkjent fra nettleserspråk eller manuelt valgt fra 42 tilgjengelige språk)
• Tidspunkt for registrering
• IP-adresse på registreringstidspunktet (for protokollføring av DBA-samtykke i henhold til artikkel 28 avsnitt 9 DSGVO)

Mottakere: Resend (sending av verifiserings-e-post), Hetzner Online GmbH (hosting av databasen).

Lagringsperiode: Dataene lagres så lenge kontraktsforholdet varer. Etter sletting av kontoen slettes dataene umiddelbart, med forbehold om lovpålagte lagringsplikter (jf. avsnitt 23).

3.2 Dobbel Opt-In (e-postverifisering)

Formål: Verifisering av e-postadressen for å sikre at e-postadressens eier faktisk har utført registreringen.

Rettsgrunnlag: Artikkel 6 avsnitt 1 bokstav b DSGVO (Oppfyllelse av avtale) i forbindelse med artikkel 6 avsnitt 1 bokstav f DSGVO (berettiget interesse i å forhindre misbruk).

Kategorier av behandlede data:

• E-postadresse
• Verifiseringstoken (tilfeldig generert, gyldig i 24 timer)
• Tidspunkt for sending og bekreftelse
• Verifiseringsstatus (emailVerified: true/false)

Mottakere: Resend (sending av verifiserings-e-post).

Lagringsperiode: Verifiseringstokenet slettes etter bekreftelse eller etter utløpet av 24-timersfristen. Verifiseringsstatusen lagres så lenge kontraktsforholdet varer.

3.3 Tilbakestilling av passord

Formål: Muliggjøring av gjenoppretting av tilgang til kontoen ved glemt passord.

Rettsgrunnlag: Artikkel 6 avsnitt 1 bokstav b DSGVO (Oppfyllelse av avtale).

Kategorier av behandlede data:

• E-postadresse
• Tilbakestillingstoken (tilfeldig generert, tidsbegrenset)
• Tidspunkt for forespørsel

Mottakere: Resend (sending av tilbakestillings-e-post).

Lagringsperiode: Tilbakestillingstokenet slettes etter bruk eller etter utløpet av gyldighetsperioden.

4. Bruk av SaaS-plattformen (dashbord)

4.1 Dashbordbruk og bannerkonfigurasjon

Formål: Tilby den nettbaserte brukergrensesnittet (dashbordet) på app.biscotti-cmp.com for konfigurasjon og administrasjon av samtykkebanneret, nettstedene, kategoriene, de juridiske tekstene og alle andre plattformfunksjoner.

Rettsgrunnlag: Artikkel 6 avsnitt 1 bokstav b DSGVO (Oppfyllelse av avtale).

Kategorier av behandlede data:

• Kontodata (e-post, navn, firma)
• Nettstedskonfigurasjoner (domene, bannerinnstillinger, farger, tekster, samtykkekategorier)
• Bannerstatistikk (visninger, interaksjoner, akseptrater)
• Skanneresultater og skannehistorikk
• Genererte juridiske tekster
• Etterlevelsesrapporter og helsescore
• Revisjonsloggoppføringer (tidsstempel, bruker-ID, utført handling, IP-adresse)

Mottakere: Hetzner Online GmbH (Hosting).

Lagringsperiode: Så lenge kontraktsforholdet varer. Revisjonslogger lagres i 12 måneder. Etter sletting av kontoen slettes dataene ugjenkallelig etter utløpet av den 30-dagers utsettelsesperioden (grace period).

4.2 Teamadministrasjon

Formål: Muliggjøring av multi-bruker tilgang til kontoen ved invitasjon av teammedlemmer.

Rettsgrunnlag: Artikkel 6 avsnitt 1 bokstav b DSGVO (Oppfyllelse av avtale).

Kategorier av behandlede data:

• E-postadresser til inviterte teammedlemmer
• Tildelte roller og tillatelser
• Tidspunkt for invitasjon og aksept

Mottakere: Resend (sending av invitasjons-e-post), Hetzner Online GmbH (Hosting).

Lagringsperiode: Så lenge teammedlemskapet varer. Ved fjerning fra teamet slettes tilknytningsdataene.

4.3 Samtykkeanalyse og A/B-testing

Formål: Statistisk evaluering av samtykkerater, bannerinteraksjoner og konverteringssporing. A/B-testing muliggjør sammenligning av ulike bannervarianter for å optimalisere akseptratene.

Rettsgrunnlag: Artikkel 6 avsnitt 1 bokstav b DSGVO (Oppfyllelse av avtale — analysefunksjonene er en del av den bestilte tariffen).

Kategorier av behandlede data:

• Aggregerte samtykkestatistikker (ingen enkeltpersonopplysninger)
• Bannervariant-tilknytning (ved A/B-testing)
• Trafikkfordeling og konverteringsrater

Mottakere: Hetzner Online GmbH (Hosting).

Lagringsperiode: Aggregerte statistikker lagres så lenge kontraktsforholdet varer.

5. Samtykkedata fra nettstedsbesøkende

5.1 Innsamling av samtykkebeslutninger

Formål: Innsamling, lagring og dokumentasjon av nettstedsbesøkendes samtykkebeslutninger for å oppfylle nettstedsoperatørens dokumentasjonsplikt i henhold til artikkel 7 avsnitt 1 DSGVO og § 25 avsnitt 1 TDDDG.

Rettsgrunnlag: Artikkel 6 avsnitt 1 bokstav c DSGVO (rettslig forpliktelse — dokumentasjonsplikt i henhold til artikkel 7 avsnitt 1 DSGVO) i forbindelse med artikkel 6 avsnitt 1 bokstav f DSGVO (berettiget interesse for nettstedsoperatøren i dokumentasjon av samtykket).

Kategorier av behandlede data:

• Samtykke-ID (pseudonym UUID, som tilordnes sluttbrukeren/nettleseren)
• Samtykkebeslutninger per kategori (Essensiell, Funksjonell, Analyse, Markedsføring samt eventuelt brukerdefinerte kategorier)
• Tidsstempel for samtykket (dato og klokkeslett)
• IP-hash (IP-adressen behandles utelukkende for jurisdiksjonsgjenkjenning og anonymiseres deretter til en kryptografisk hash; rå-IP-adresser lagres ikke permanent)
• Landskode (bestemt via GeoIP-gjenkjenning)
• Nettleserspråk
• User-Agent-streng
• Referrer-kategori (organisk, sosial, betalt, direkte, henvisning)
• TCF-streng (ved aktivert IAB Transparency & Consent Framework 2.3)
• Samtykkevariant (ved aktivert A/B-testing)
• Google Consent Mode v2-signaler
• Global Privacy Control (GPC)-signal

Mottakere: Hetzner Online GmbH (Hosting, database), MinIO (sikkerhetskopi, selv-hostet på Hetzner).

Lagringsperiode: Samtykkedata lagres som standard i 18 måneder. Nettstedsoperatøren (kunden) kan konfigurere lagringsperioden individuelt. Etter utløpet av lagringsperioden slettes dataene automatisk og ugjenkallelig.

5.2 Samtykkeoppslag (innsyn for nettstedsbesøkende)

Formål: Muliggjøring av innsyn i lagrede samtykkedata av nettstedsbesøkende for å oppfylle innsynsretten i henhold til artikkel 15 DSGVO.

Rettsgrunnlag: Artikkel 6 avsnitt 1 bokstav c DSGVO (rettslig forpliktelse — innsynsrett i henhold til artikkel 15 DSGVO).

Kategorier av behandlede data:

• Samtykke-ID (angitt av nettstedsbesøkende)
• IP-adresse (for rate-limiting, ikke permanent lagret)

Mottakere: Hetzner Online GmbH (Hosting).

Lagringsperiode: Ingen ytterligere data lagres. Forespørselen er begrenset til 10 forespørsler per minutt per IP-adresse.

6. Cookie-skanner

6.1 Automatisert nettstedsskanning

Formål: Automatisert gjennomgang av våre kunders nettsteder for informasjonskapsler, lokal lagring og tredjeparts-trackere for identifisering, kategorisering og dokumentasjon av de anvendte teknologiene. Resultatene brukes til personvernvennlig konfigurasjon av samtykkebanneret.

Rettsgrunnlag: Artikkel 6 avsnitt 1 bokstav b DSGVO (Oppfyllelse av avtale — cookie-skanneren er en kjernefunksjon i plattformen).

Kategorier av behandlede data:

• Domene og URL for det skannede nettstedet
• Funnet informasjonskapsler (navn, verdi, domene, utløpsdato, sti, Secure-flagg, SameSite-attributt)
• Lokal lagring
• Tredjeparts-trackere og integrerte eksterne ressurser
• Kategorisering av de funne elementene (Essensiell, Funksjonell, Analyse, Markedsføring)
• Sammenligning med IAB Global Vendor List (GVL)
• Skanntidspunkt og skannvarighet

Teknisk implementering: Skanneren bruker Playwright (åpen kildekode headless-nettleser fra Microsoft), som drives på våre egne servere på Hetzner (Falkenstein, Tyskland). Ingen data overføres til Microsoft. Skanneren besøker kundens nettsted som en vanlig nettleser for å fange opp JavaScript-gjengitt innhold og dynamisk satte informasjonskapsler.

Mottakere: Hetzner Online GmbH (Hosting), Alibaba Cloud Qwen (AI-støttet kategorisering av funne informasjonskapsler).

Lagringsperiode: Skanneresultater lagres så lenge kontraktsforholdet varer. Skannehistorikk muliggjør sammenligning med tidligere skanninger.

6.2 Offentlig cookie-sjekker

Formål: Tilby en gratis, offentlig cookie-sjekker på markedsføringsnettstedet, som kan brukes uten registrering.

Rettsgrunnlag: Artikkel 6 avsnitt 1 bokstav f DSGVO (berettiget interesse i å tilby en informasjonstjeneste og kunderekruttering).

Kategorier av behandlede data:

• Angitt domene/URL
• IP-adresse (for rate-limiting, ikke permanent lagret)
• Skanneresultater

Mottakere: Hetzner Online GmbH (Hosting).

Lagringsperiode: Skanneresultater fra den offentlige sjekkeren lagres midlertidig. Bruken er begrenset til 3 skanninger per dag per IP-adresse.

7. Legal Suite — AI-tekstgenerering

7.1 AI-støttet generering av juridiske tekster

Formål: Generering av skreddersydde juridiske tekster (Impressum, personvernerklæring, informasjonskapsel-policy, generelle vilkår og betingelser, angrerettserklæring, DBA/DPA, frakt- og returbetingelser, bruksvilkår, ansvarsfraskrivelse, NDA, DSA-informasjon og over 30 andre dokumenttyper) basert på informasjonen kunden har angitt, ved bruk av kunstig intelligens.

Rettsgrunnlag: Artikkel 6 avsnitt 1 bokstav b DSGVO (Oppfyllelse av avtale — Legal Suite er en del av den bestilte tariffen).

Kategorier av behandlede data som overføres til Alibaba Cloud Qwen:

• Kundens selskapsdata (firmanavn, selskapsform, adresse, kontaktopplysninger)
• Navn på representasjonsberettigede (administrerende direktør, prokurister)
• Registerdata (registerdomstol, registernummer, MVA-identifikasjonsnummer)
• Bransjespesifikk informasjon og forretningskategori
• Beskrivelse av behandlingsaktivitetene
• Individuelle opplysninger om dokumenttypen angitt av kunden
• Jurisdiksjonsinformasjon

AI-leverandør: Alibaba Cloud Qwen (Alibaba (Netherlands) B.V., Herengracht 448, 1017 CA Amsterdam, Niederlande). Behandlingen skjer via Alibaba Cloud Model Studio (Qwen) API innenfor EU/EØS. I henhold til Alibaba Cloud-personvernreglene brukes inndata ikke til trening av AI-modeller.

Mottakere: Alibaba Cloud Qwen (AI-behandling), Hetzner Online GmbH (hosting, lagring av de genererte tekstene).

Lagringsperiode: Genererte juridiske tekster lagres så lenge kontraktsforholdet varer. Hos Alibaba Cloud Qwen lagres inndata i henhold til Alibaba Cloud-bruksvilkårene ikke utover behandlingen.

7.2 Bring Your Own Key (BYOK)

Formål: Kunder kan valgfritt lagre egne API-nøkler for AI-leverandører (Alibaba Qwen, Google Gemini, OpenAI, Anthropic Claude, Ollama) for å utføre tekstgenerering via sin egen konto hos den respektive AI-leverandøren.

Rettsgrunnlag: Artikkel 6 avsnitt 1 bokstav b DSGVO (Oppfyllelse av avtale).

Kategorier av behandlede data:

• Kundens API-nøkkel (lagres kryptert med AES-256-GCM)

Merk: Ved bruk av egen API-nøkkel skjer behandlingen av inndata hos den respektive AI-leverandøren under kundens ansvar. Personvernreglene til den respektive leverandøren gjelder.

Mottakere: Den AI-leverandøren kunden har valgt.

Lagringsperiode: Den krypterte API-nøkkelen lagres så lenge kontraktsforholdet varer og slettes ved sletting av kontoen.

8. Legal Sync — Overvåking av lovendringer

Formål: Automatisert overvåking av lovendringer i over 186 jurisdiksjoner. Ved relevante endringer merkes kundens berørte juridiske tekster automatisk som oppdateringspliktige. I tariffer med «Auto-Update»-funksjon kan berørte tekster automatisk regenereres.

Rettsgrunnlag: Artikkel 6 avsnitt 1 bokstav b DSGVO (Oppfyllelse av avtale — Legal Sync er en del av den bestilte tariffen).

Kategorier av behandlede data:

• Jurisdiksjonstilknytning for kundens nettsteder
• Tilknytning av de genererte juridiske tekstene til jurisdiksjoner
• Tidspunkt og type av den identifiserte lovendringen
• Oppdateringsstatus (aktuell, oppdateringspliktig, automatisk oppdatert)

Teknisk implementering: En daglig automatisert prosess (Cron-Job, 03:00 UTC) sjekker for lovendringer og sammenligner disse med kundedokumentene.

Mottakere: Hetzner Online GmbH (Hosting), Alibaba Cloud Qwen (ved automatisk regenerering av juridiske tekster), Resend (varslings-e-poster).

Lagringsperiode: Endringsprotokoller lagres så lenge kontraktsforholdet varer.

9. Policy-revisjon — Nettsted-skraping og AI-analyse

9.1 Automatiserte etterlevelsesrevisjoner

Formål: Automatisert ukentlig gjennomgang av kundens nettsteder for personvernrettslige risikoer. Dette inkluderer gjenkjenning av nye informasjonskapsler siden forrige skanning, kontroll av samtykkeproblemer samt AI-støttet analyse av kundens eksisterende juridiske tekster (personvernerklæring, Impressum). Resultatet presenteres som en helsescore (A–F).

Rettsgrunnlag: Artikkel 6 avsnitt 1 bokstav b DSGVO (Oppfyllelse av avtale — etterlevelsesrevisjonsfunksjonen er en del av plattformen).

Kategorier av behandlede data:

• Domene og URL for det kontrollerte nettstedet
• Skrapet innhold fra kundens personvernerklæring og Impressum
• Resultater av AI-analysen (identifiserte mangler, utdaterte referanser, manglende tjenester)
• Helsescore og etterlevelsesrapport
• Tidspunkt for revisjonen

Teknisk implementering: Playwright (Headless-nettleser, selv-hostet på Hetzner) skraper de offentlig tilgjengelige juridiske tekstene fra kundens nettsted. De skrapede tekstene analyseres deretter via Alibaba Cloud Model Studio (Qwen) API.

Mottakere: Hetzner Online GmbH (Hosting), Alibaba Cloud Qwen (AI-analyse), Resend (varslings-e-poster ved identifiserte problemer).

Lagringsperiode: Revisjonsresultater og etterlevelsesrapporter lagres så lenge kontraktsforholdet varer.

10. Advokatmarkedsplass

10.1 Formidling av advokattjenester

Formål: Formidling av advokattjenester mellom kunder og uavhengige advokater registrert på plattformen. Campcruisers GmbH fungerer her utelukkende som formidler og blir ikke selv part i klientforholdet mellom kunde og advokat (jf. § 14 AGB).

Rettslig grunnlag: Art. 6 Abs. 1 lit. b DSGVO (kontraktsoppfyllelse — bruk av advokatmarkedsplassen).

10.2 Advokatregistrering

Kategorier av behandlede data:

• Advokatens kontaktopplysninger (navn, e-post, telefon, kontoradresse)
• Faglige kvalifikasjoner og spesialfelt
• Verifiseringsdokumenter (maks. 10 MB, PDF/JPEG/PNG)
• Verifiseringsstatus (PENDING_APPROVAL, APPROVED, REJECTED)
• Tilgjengelighet (ukentlige tidsluker, blokkerte datoer, tidssone)
• Profilbilde og profilbeskrivelse
• Stripe Connect-kontodata (for utbetalinger)

10.3 Klientdata

Kategorier av behandlede data:

• Tilbudsanmodninger og tilbud (beskrivelse, pris, gyldighetsperiode)
• Klientstatus (QUOTE_REQUESTED, QUOTE_SENT, PAYMENT_PENDING, IN_REVIEW, COMPLETED, QUOTE_REJECTED, QUOTE_EXPIRED, CANCELLED, DISPUTED)
• Meldinger mellom kunde og advokat
• Betalingsinformasjon (beløp, plattformprovisjon, utbetalingsbeløp)

10.4 Videorådgivning (Twilio)

Formål: Tilby videorådgivning mellom kunder og advokater.

Rettslig grunnlag: Art. 6 Abs. 1 lit. b DSGVO (kontraktsoppfyllelse).

Kategorier av behandlede data:

• Videorådgivnings-metadata (tidspunkt, varighet, deltakere)
• Twilio-rom-ID og tilgangs-token

Mottakere: Twilio Ireland Limited, Dublin, Irland (levering av videoinfrastruktur).

10.5 Vurderinger

Formål: Muliggjøre vurdering av advokater av kunder for kvalitetssikring.

Rettslig grunnlag: Art. 6 Abs. 1 lit. f DSGVO (berettiget interesse i kvalitetssikring og åpenhet).

Kategorier av behandlede data:

• Vurdering (stjerner, fritekst)
• Tidspunkt for vurderingen
• Tilknytning til klientforholdet

Mottakere for hele advokatmarkedsplassen: Stripe Connect (betalingsbehandling), Twilio (videorådgivning), Hetzner Online GmbH (hosting), Resend (varsler).

Lagringsperiode: Klientdata lagres i kontraktens varighet, men minst i perioden for lovpålagte oppbevaringsplikter (10 år for fakturadata). Vurderinger forblir synlige så lenge advokaten er registrert. Ikke-aksepterte tilbud utløper automatisk etter 7 dager.

11. Byrå- og White-Label-funksjoner

11.1 Sub-konto-administrasjon

Formål: Muliggjøre administrasjon av sluttkundekontoer (sub-kontoer) av byråer innenfor Agency-tariffen.

Rettslig grunnlag: Art. 6 Abs. 1 lit. b DSGVO (kontraktsoppfyllelse).

Kategorier av behandlede data:

• E-postadresser og kontaktopplysninger for sub-kontoinnehavere (byråets sluttkunder)
• Invitasjonsdata (e-post, tidspunkt)
• Proxy-token-tilgangsprotokoller (tidspunkt, byråbruker, sub-konto)
• Nettstedskonfigurasjoner og samtykkedata for sub-kontoene

Mottakere: Hetzner Online GmbH (hosting), Resend (invitasjons-e-poster).

Lagringsperiode: For varigheten av kontraktsforholdet mellom byrået og Campcruisers GmbH.

11.2 Egendefinert domene (CNAME)

Formål: Tilby et eget domene for byråets dashbord.

Rettslig grunnlag: Art. 6 Abs. 1 lit. b DSGVO (kontraktsoppfyllelse).

Kategorier av behandlede data:

• Byråets domenenavn
• DNS-verifiseringsdata
• SSL/TLS-sertifikatdata (automatisk levert via Let's Encrypt)

Mottakere: Let's Encrypt (SSL-sertifikatutstedelse — kun domenenavn, ingen personopplysninger om fysiske personer overføres), Hetzner Online GmbH (hosting, Traefik-ruting).

11.3 Egne transaksjons-e-poster

Formål: Muliggjøre sending av transaksjons-e-poster under byråets merkevare via en egen e-postleverandør.

Rettslig grunnlag: Art. 6 Abs. 1 lit. b DSGVO (kontraktsoppfyllelse).

Kategorier av behandlede data:

• API-nøkler fra byråets e-postleverandør (lagret kryptert med AES-256-GCM)
• E-postavsenderdata (navn, e-postadresse)
• Støttede leverandører: Resend, SendGrid, Mailjet, Mailchimp/Mandrill, Maileroo, Gmail SMTP, Custom SMTP

Merk: Ved bruk av egen e-postleverandør skjer e-postforsendelsen under byråets databeskyttelsesansvar.

Lagringsperiode: Krypterte API-nøkler lagres i kontraktens varighet.

12. Nyhetsbrev

12.1 Nyhetsbrevabonnement

Formål: Sending av informasjon om produktoppdateringer, databeskyttelsesrett, compliance-temaer og nyheter rundt Biscotti CMP.

Rettslig grunnlag: Art. 6 Abs. 1 lit. a DSGVO (samtykke — nyhetsbrevet sendes kun etter uttrykkelig samtykke via double opt-in-prosedyren).

Kategorier av behandlede data:

• E-postadresse
• Tidspunkt for registrering og double opt-in-bekreftelse
• Avmeldingsstatus

Double opt-in-prosedyre: Etter å ha oppgitt e-postadressen din, mottar du en bekreftelses-e-post med en verifiseringslenke. Først etter å ha klikket på denne lenken, blir e-postadressen din lagt til i nyhetsbrevdistribusjonslisten.

Mottakere: Resend (sending av nyhetsbrev-e-poster og bekreftelses-e-posten).

Avmelding: Du kan når som helst melde deg av nyhetsbrevet. Hver nyhetsbrev-e-post inneholder en avmeldingslenke (Unsubscribe-link). Alternativt kan du melde deg av via e-post til [email protected].

Lagringsperiode: E-postadressen din lagres til du melder deg av nyhetsbrevet. Etter avmelding slettes e-postadressen umiddelbart fra distribusjonslisten. For å dokumentere det gitte samtykket, oppbevares tidspunktet for registrering og bekreftelse i 3 år etter avmelding (berettiget interesse i bevisbarheten av samtykket, Art. 6 Abs. 1 lit. f DSGVO).

13. Review Rewards Program

Formål: Belønning av kunder som gir vurderinger av Biscotti CMP på eksterne vurderingsplattformer, med bonusøkter og en midlertidig planoppgradering.

Rettslig grunnlag: Art. 6 Abs. 1 lit. b DSGVO (kontraktsoppfyllelse — deltakelse i programmet er frivillig og utgjør en kontraktsmessig tilleggstjeneste).

Kategorier av behandlede data:

• Kontodata for den deltakende kunden
• Vurderingsplattform (OMR Reviews, Capterra, G2, Google Business, WordPress.org, Trustpilot, SourceForge, Facebook, earlybird.so)
• Lenke til den gitte vurderingen
• Godkjenningsstatus (ved admin-gjennomgang)
• Belønningsdata (15.000 bonusøkter, 1 måneds planoppgradering)

Mottakere: Hetzner Online GmbH (hosting).

Lagringsperiode: Belønningsdata lagres i kontraktens varighet. Bonusøkter utløper etter 6 måneder (ordinære planer) eller er ubegrenset gyldige (LTD-planer).

14. Betalingsbehandling (Stripe)

14.1 Abonnementsbetalinger

Formål: Behandling av betalinger for betalte abonnementstariffer, Credit Packs og andre betalte tjenester.

Rettslig grunnlag: Art. 6 Abs. 1 lit. b DSGVO (kontraktsoppfyllelse).

Kategorier av behandlede data:

• Fakturaadresse (navn/firma, gate, postnummer, sted, land)
• MVA-nummer (for B2B-kunder)
• Betalingsmetode (kredittkort, SEPA-direktedebitering, PayPal, Apple Pay, Google Pay etc.)
• Betalingshistorikk og fakturaer
• Stripe Customer-ID og Subscription-ID

Mottakere: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Stripe er sertifisert under EU-US Data Privacy Framework.

Lagringsperiode: Fakturaer og regnskapsdata oppbevares i 10 år (§ 147 AO, §§ 238, 257 HGB). Betalingsmetoder lagres hos Stripe i abonnementets varighet.

14.2 Stripe Connect (Advokatmarkedsplass)

Formål: Behandling av betalinger mellom kunder og advokater via advokatmarkedsplassen samt utbetaling til advokater.

Rettslig grunnlag: Art. 6 Abs. 1 lit. b DSGVO (kontraktsoppfyllelse).

Kategorier av behandlede data:

• Stripe Connect Express-kontodata for advokatene
• Betalingsbeløp, plattformprovisjon, utbetalingsbeløp
• Checkout-session-data

Mottakere: Stripe Payments Europe, Ltd., Dublin, Irland.

Lagringsperiode: I henhold til oppbevaringspliktene for fakturadata (10 år).

14.3 ZUGFeRD-fakturaer

Formål: Opprettelse og levering av fakturaer i ZUGFeRD-format (PDF med innebygd XML i henhold til EN 16931).

Rettslig grunnlag: Art. 6 Abs. 1 lit. b DSGVO (kontraktsoppfyllelse) i forbindelse med Art. 6 Abs. 1 lit. c DSGVO (rettslig forpliktelse — faktureringsplikter i henhold til UStG, HGB).

Kategorier av behandlede data:

• Fakturaadresse, kundenummer (CUS-JJMM-XXXXX), fakturanummer (INV-JJMM-XXXXX)
• Ytelsesbeskrivelse, beløp, skattesatser

Mottakere: Resend (sending av faktura via e-post), Hetzner Online GmbH (hosting).

Lagringsperiode: 10 år (§ 147 AO, §§ 238, 257 HGB).

15. GeoIP-gjenkjenning

Formål: IP-basert fastsettelse av land eller jurisdiksjon for nettstedbesøkende for dynamisk visning av juridisk korrekte banner-varianter (f.eks. Opt-In for GDPR-land, Opt-Out for CCPA-land, Notice-Only for land uten spesifikk cookie-lovgivning).

Rettslig grunnlag: Art. 6 Abs. 1 lit. f DSGVO (berettiget interesse i den juridisk korrekte visningen av samtykkebanneret i henhold til den gjeldende jurisdiksjonen til nettstedbesøkende).

Kategorier av behandlede data:

• IP-adresse til nettstedbesøkende (overføres til ip-api.com for landgjenkjenning)
• Fastslått landskode

Teknisk implementering: IP-adressen overføres til tjenesten ip-api.com (basert i Litauen, EU). Resultatet (landskode) mellomlagres i cache (Redis) i 1 time for å unngå gjentatte spørringer. Etter landgjenkjenningen anonymiseres IP-adressen til en kryptografisk hash (IP-hash). Rå-IP-adresser lagres ikke permanent.

Mottakere: ip-api.com (ip-api, Litauen — GeoIP-tjeneste), Hetzner Online GmbH (hosting, Redis-cache).

Lagringsperiode: GeoIP-resultatet lagres i cache i 1 time. Rå-IP-adresser anonymiseres umiddelbart etter landgjenkjenningen. IP-hashen lagres som en del av samtykkedataene for den konfigurerte oppbevaringsperioden (standard: 18 måneder).

16. Bot-gjenkjenning

Formål: Skille mellom menneskelige nettstedbesøkende og automatiserte tilganger (bots, crawlere, scrapere) for korrekt sesjonstelling. Automatiserte tilganger telles ikke som sesjoner og faktureres ikke.

Rettslig grunnlag: Art. 6 Abs. 1 lit. f DSGVO (berettiget interesse i korrekt fakturering og beskyttelse av plattformen mot misbruk).

Kategorier av behandlede data:

• User-Agent-streng
• HTTP-header (f.eks. Accept-Language, Accept-Encoding)
• Kjennetegn ved headless-browsere
• IP-adresse (for IP-basert rate-limiting, lagres ikke permanent)

Teknisk implementering: Bot-gjenkjenningen analyserer hver tilgang basert på User-Agent-analyse, header-analyse (f.eks. manglende Accept-Language-headere), gjenkjenning av headless-browsere og IP-basert rate-limiting. Analysen skjer i sanntid på våre servere.

Mottakere: Hetzner Online GmbH (hosting).

Lagringsperiode: Analyseresultatene lagres ikke permanent. Resultatet (Bot: ja/nei) inngår i sesjonstellingen.

16.1 Cloudflare Turnstile (Bot-beskyttelse ved innlogging/registrering)

Formål: Beskyttelse av innloggings- og registreringsskjemaer mot automatiserte bot-angrep.

Rettslig grunnlag: Art. 6 Abs. 1 lit. f DSGVO (berettiget interesse i beskyttelse av plattformen mot misbruk og automatiserte angrep).

Kategorier av behandlede data:

• IP-adresse
• Nettleserinformasjon
• Interaksjonsdata med Turnstile-widgeten

Mottakere: Cloudflare Germany GmbH, Rosental 7, 80331 München, Tyskland. Cloudflare er sertifisert under EU-US Data Privacy Framework. Sikkerheten sikres i tillegg av Standard Contractual Clauses (SCCs).

Lagringsperiode: Cloudflare lagrer dataene i henhold til egne databeskyttelsesbestemmelser. Ingen ytterligere data fra Turnstile lagres på våre servere.

17. Sesjonssporing

Formål: Telle sesjoner for tariffbasert fakturering. En sesjon telles når Biscotti-CMP-widgeten (biscotti.min.js) lastes på en kundes nettsted og sender en HTTP-ping til endepunktet /api/v1/ping.

Rettslig grunnlag: Art. 6 Abs. 1 lit. b DSGVO (kontraktsoppfyllelse — den sesjonsbaserte faktureringen er grunnlaget for tariffmodellen).

Kategorier av behandlede data:

• Sesjonsteller (aggregert per nettsted og faktureringsmåned)
• Tidspunkt for pingen
• Bot-gjenkjenningsresultat (jf. avsnitt 16)

Teknisk implementering: Redis brukes som en in-memory-database for sesjonssporing og caching. Redis driftes selvhostet på Hetzner (Falkenstein, Tyskland). Ingen data overføres til tredjeparter.

Mottakere: Hetzner Online GmbH (hosting, Redis).

Lagringsperiode: Sesjonstellere lagres for den aktuelle faktureringsmåneden. Historiske sesjonsdata oppbevares i kontraktens varighet for å kunne etterprøve faktureringen.

18. Sikkerhetskopier

Formål: Regelmessig sikkerhetskopiering av samtykkelogger, bannerkonfigurasjoner, nettstedskonfigurasjoner og databasedata for å sikre gjenopprettbarhet i tilfelle datatap.

Rettslig grunnlag: Art. 6 Abs. 1 lit. f DSGVO (berettiget interesse i datasikkerhet og gjenopprettbarhet i henhold til Art. 32 Abs. 1 lit. c DSGVO).

Kategorier av behandlede data:

• Alle data lagret i databasen (samtykkelogger, konfigurasjoner, kontodata, juridiske tekster, skanneresultater)
• Bannerkonfigurasjoner

Teknisk implementering:

• Daglige automatiske sikkerhetskopier av PostgreSQL-databasen
• Daglige automatiske sikkerhetskopier av bannerkonfigurasjoner og nettstedskonfigurasjoner
• Lagring på selvhostet MinIO-lagring innenfor Hetzner
• Serversidekryptering med AES-256
• Integritetskontroll med SHA-256-sjekksummer
• Regelmessige gjenopprettingstester

Mottakere: MinIO (selvhostet på Hetzner Online GmbH).

Lagringsperiode: Sikkerhetskopier oppbevares i en rullerende periode. Ved sletting av konto slettes sikkerhetskopidataene etter utløpet av den 30-dagers grace-perioden og neste sikkerhetskopieringsrotasjonssyklus.

19. Vert og infrastruktur

19.1 Hetzner Online GmbH

Formål: Vertskap for hele Biscotti CMP-infrastrukturen, inkludert webserver, database, applikasjonslogikk og alle tilknyttede tjenester.

Rettslig grunnlag: Art. 6 Abs. 1 lit. b DSGVO (kontraktsoppfyllelse) i forbindelse med Art. 6 Abs. 1 lit. f DSGVO (berettiget interesse i en pålitelig og sikker infrastruktur).

Datasenterlokasjon: Falkenstein/Vogtland (Tyskland, EU).

Leverandør: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Tyskland.

Teknisk arkitektur:

• Containerisert applikasjon (Docker)
• Traefik som omvendt proxy og lastbalanser
• PostgreSQL som relasjonsdatabase (selvhostet på Hetzner)
• Redis som in-memory-database for sesjonssporing og hurtigbufring (selvhostet på Hetzner)
• Playwright som hodeløs nettleser for nettstedsskanning (selvhostet på Hetzner)
• MinIO som S3-kompatibel objektlagring for sikkerhetskopier (selvhostet på Hetzner)

19.2 Serverloggfiler

Formål: Teknisk tilgjengeliggjøring av nettstedet og sikring av systemstabilitet.

Rettslig grunnlag: Art. 6 Abs. 1 lit. f DSGVO (berettiget interesse i den tekniske tilgjengeliggjøringen og sikkerheten).

Kategorier av behandlede data:

• IP-adresse (anonymisert)
• Dato og klokkeslett for tilgang
• Besøkt side/endepunkt
• HTTP-statuskode
• Overført datamengde
• Referer-URL
• Nettlesertype og -versjon
• Operativsystem

Lagringsperiode: Serverloggfiler lagres i maksimalt 30 dager og slettes deretter automatisk.

20. Informasjonskapsler og lokal lagring på biscotti-cmp.com

20.1 Egen bruk av Biscotti CMP

For å administrere de nødvendige samtykkene på vårt eget nettsted (biscotti-cmp.com) bruker vi vårt eget produkt «Biscotti CMP».

20.2 Teknisk nødvendige informasjonskapsler

Formål: Sikring av funksjonaliteten til nettstedet og dashbordet.

Rettslig grunnlag: Art. 6 Abs. 1 lit. f DSGVO (berettiget interesse i den tekniske funksjonaliteten) i forbindelse med § 25 Abs. 2 Nr. 2 TDDDG (teknisk nødvendige informasjonskapsler er unntatt fra samtykkeplikt).

Brukte teknisk nødvendige informasjonskapsler:

• Sesjonsinformasjonskapsel (JWT-token for autentisering, gyldighet: 7 dager)
• Samtykkeinformasjonskapsel (lagring av besøkendes samtykkebeslutning på biscotti-cmp.com)
• Språkpreferanse-informasjonskapsel

20.3 Analyseinformasjonskapsler (kun med samtykke)

Formål: Statistisk evaluering av bruken av nettstedet vårt for å forbedre tilbudet vårt.

Rettslig grunnlag: Art. 6 Abs. 1 lit. a DSGVO (samtykke) i forbindelse med § 25 Abs. 1 TDDDG.

Google Analytics 4: Vi bruker Google Analytics 4 for statistisk evaluering utelukkende med ditt samtykke. Leverandør: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Databehandlingen skjer i EU. IP-anonymisering er aktivert.

20.4 Detaljert informasjon om informasjonskapsler

Detaljert informasjon om alle informasjonskapsler som brukes på biscotti-cmp.com, inkludert navn, formål, leverandør, lagringsperiode og type, finner du i vår separate retningslinje for informasjonskapsler.

21. Eksterne tjenesteleverandører / Mottakere

For å levere våre tjenester bruker vi følgende eksterne tjenesteleverandører. Denne listen tilsvarer § 24 i våre generelle vilkår og betingelser og § 7 i vår databehandleravtale:

Selvhostede teknologier (ingen selvstendige underdatabehandlere):

• PostgreSQL (Open Source) — Relasjonsdatabase, selvhostet på Hetzner (Falkenstein)
• Redis (Open Source) — In-memory-database for sesjonssporing og hurtigbufring, selvhostet på Hetzner (Falkenstein)
• Playwright (Open Source, Microsoft) — Hodeløs nettleser for nettstedsskanning, selvhostet på Hetzner (Falkenstein)
• MinIO (Open Source) — S3-kompatibel objektlagring for sikkerhetskopier, selvhostet på Hetzner (Falkenstein)

Med disse teknologiene skjer ingen dataoverføring til tredjeparter. De er en del av Hetzner-infrastrukturen nevnt under nr. 5.

22. Tredjelandsoverføring

22.1 Prinsipp

Behandlingen av personopplysninger skjer i utgangspunktet innenfor Den europeiske union (EU) eller Det europeiske økonomiske samarbeidsområdet (EØS). Den primære infrastrukturen (Hetzner Online GmbH, Falkenstein) befinner seg i Tyskland.

22.2 Overføringer til tredjeland

I den grad behandling utføres av eksterne tjenesteleverandører utenfor EU/EØS, sikrer vi at de spesielle kravene i Art. 44 ff. DSGVO er oppfylt:

(a) Resend (USA):

• Sikring gjennom de gjeldende standardkontraktsklausulene (SCCs) fra EU-kommisjonen i henhold til gjennomføringsbeslutning (EU) 2021/914
• Ytterligere sikring gjennom EU-US Data Privacy Framework (DPF) i henhold til EU-kommisjonens beslutning om tilstrekkelig beskyttelsesnivå av 10. juli 2023
• Supplerende tekniske tiltak: TLS-kryptering av all e-postoverføring
• Databehandling skjer på AWS-servere i EU (region eu-west-1)

(b) Let's Encrypt (USA):

• Kommunikasjonen med Let's Encrypt er begrenset til automatisert utstedelse av SSL/TLS-sertifikater via ACME-protokollen
• Kun domenenavn overføres — ingen personopplysninger om fysiske personer

(c) Cloudflare Turnstile (Global):

• Sikring gjennom standardkontraktsklausulene (SCCs) fra EU-kommisjonen
• Ytterligere sikring gjennom EU-US Data Privacy Framework
• Behandlingen er begrenset til bot-gjenkjenning ved innloggings- og registreringsprosesser

22.3 Vurdering av overføringsfølger

For hver tredjelandsoverføring utfører vi en vurdering av overføringsfølger (Transfer Impact Assessment — TIA) for å sikre at databeskyttelsesnivået i tredjelandet i hovedsak tilsvarer det i EU. Resultatene av TIAen stilles til rådighet på forespørsel.

22.4 Endringer i rettsgrunnlaget

Skulle en beslutning om tilstrekkelig beskyttelsesnivå fra EU-kommisjonen oppheves, eller en tredjelandsoverføring forbys av en tilsynsmyndighet eller en domstol, vil vi umiddelbart informere deg og iverksette egnede alternative beskyttelsestiltak eller stanse den berørte behandlingen.

23. Lagringsperiode og slettefrister

Vi lagrer personopplysninger kun så lenge det er nødvendig for det respektive behandlingsformålet eller det foreligger lovpålagte lagringsplikter. Nedenfor er en oversikt over de viktigste lagringsfristene:

Etter sletting av kontoen vil alle personopplysninger, etter utløpet av den 30-dagers grace-perioden, bli uopprettelig og personvernvennlig slettet fra de produktive systemene og sikkerhetskopiene, med forbehold om de ovennevnte lovpålagte lagringspliktene.

24. Rettigheter for registrerte (Art. 15–22 DSGVO)

Som registrert har du følgende rettigheter angående dine personopplysninger:

24.1 Rett til innsyn (Art. 15 DSGVO)

Du har rett til å be om en bekreftelse fra oss om vi behandler personopplysninger som gjelder deg. Hvis dette er tilfellet, har du rett til innsyn i disse personopplysningene og til informasjonen nevnt i Art. 15 Abs. 1 DSGVO (behandlingsformål, kategorier av personopplysninger, mottakere, planlagt lagringsperiode, datakilde, eksistens av automatisert beslutningstaking).

Teknisk implementering: Du kan når som helst se kontodataene dine i dashbordet. Samtykkedata kan lastes ned via eksportfunksjonen (CSV). Nettstedbesøkende kan se sine lagrede samtykkedata via den offentlige samtykkeoppslagssiden ved å oppgi sin samtykke-ID.

24.2 Rett til retting (Art. 16 DSGVO)

Du har rett til umiddelbart å kreve retting av uriktige personopplysninger. Med hensyn til formålene med behandlingen har du rett til å kreve at ufullstendige personopplysninger blir fullført.

Teknisk implementering: Kontodata (navn, e-post, firma, adresse) kan når som helst rettes i dashbordet.

24.3 Rett til sletting (Art. 17 DSGVO)

Du har rett til å kreve umiddelbar sletting av dine personopplysninger, forutsatt at en av grunnene nevnt i Art. 17 Abs. 1 DSGVO er oppfylt (f.eks. data er ikke lenger nødvendige for formålet, tilbakekall av samtykke, ulovlig behandling).

Teknisk implementering: Du kan når som helst be om sletting av kontoen din via dashbordet eller via e-post til [email protected]. Ved kontosletting vil alle personopplysninger bli uopprettelig slettet, med forbehold om lovpålagte lagringsplikter (jf. avsnitt 23). Samtykkedata kan slettes av kunden (nettstedoperatøren) via dashbordfunksjonene.

Begrensninger: Retten til sletting gjelder ikke i den grad behandlingen er nødvendig for å oppfylle en rettslig forpliktelse (f.eks. skatte- og handelsrettslige lagringsplikter).

24.4 Rett til begrensning av behandling (Art. 18 DSGVO)

Du har rett til å kreve begrensning av behandlingen dersom en av forutsetningene nevnt i Art. 18 Abs. 1 DSGVO er oppfylt (f.eks. bestridelse av nøyaktighet, ulovlig behandling, innsigelse i henhold til Art. 21 DSGVO).

Teknisk implementering: Begrensning av individuelle datasett kan initieres via dashbordfunksjonene eller ved å kontakte vår support.

24.5 Rett til dataportabilitet (Art. 20 DSGVO)

Du har rett til å motta personopplysninger som gjelder deg, og som du har gitt oss, i et strukturert, vanlig og maskinlesbart format. Du har rett til å overføre disse dataene til en annen behandlingsansvarlig uten hindring.

Teknisk implementering: Biscotti CMP tilbyr omfattende dataeksportmuligheter i CSV-format via dashbordet og REST-API-en. Eksportbare data er: samtykkedata, nettstedkonfigurasjoner, skanneresultater, juridiske tekster, revisjonslogger og fakturaer.

24.6 Rett til å protestere (Art. 21 DSGVO)

Du har rett til, av grunner som gjelder din spesifikke situasjon, når som helst å protestere mot behandling av personopplysninger som gjelder deg, og som er basert på Art. 6 Abs. 1 lit. f DSGVO (berettiget interesse). Vi vil da ikke lenger behandle personopplysningene, med mindre vi kan påvise tvingende berettigede grunner for behandlingen som veier tyngre enn dine interesser, rettigheter og friheter, eller behandlingen er nødvendig for å fastsette, utøve eller forsvare rettskrav.

24.7 Rett til å trekke tilbake samtykke (Art. 7 Abs. 3 DSGVO)

I den grad behandlingen er basert på ditt samtykke (Art. 6 Abs. 1 lit. a DSGVO), har du rett til å trekke tilbake samtykket når som helst. Lovligheten av behandlingen som har funnet sted basert på samtykket frem til tilbakekallingen, påvirkes ikke av tilbakekallingen.

Teknisk implementering for nettstedbesøkende: Samtykkebanneret til Biscotti CMP tilbyr sluttbrukere funksjonen til å hente frem og trekke tilbake innstillinger når som helst. Tilbakekallingen er like enkel som å gi samtykke.

Teknisk implementering for nyhetsbrev: Hver nyhetsbrev-e-post inneholder en avmeldingslenke.

24.8 Rett til å klage til en tilsynsmyndighet (Art. 77 DSGVO)

Du har rett til å klage til en datatilsynsmyndighet over vår behandling av dine personopplysninger. Den ansvarlige tilsynsmyndigheten for oss er:

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow
Telefon: +49 33203 356-0
E-mail: [email protected]

Du kan imidlertid også kontakte tilsynsmyndigheten i ditt vanlige bosted eller arbeidssted.

24.9 Kontakt for utøvelse av dine rettigheter

For å utøve dine rettigheter, vennligst kontakt:

E-mail: [email protected]
Telefon: +49 3322 50703301
Post: Campcruisers GmbH, Berliner Str. 21 B, 14612 Falkensee, Tyskland

Vi vil behandle din forespørsel umiddelbart, men senest innen én måned etter mottak (Art. 12 Abs. 3 DSGVO). I komplekse tilfeller eller ved et stort antall forespørsler kan denne fristen forlenges med ytterligere to måneder, noe vi vil informere deg om med begrunnelse.

25. Automatisert beslutningstaking (Art. 22 DSGVO)

25.1 AI-tekstgenerering

Innenfor rammen av Legal Suite genereres juridiske tekster av kunstig intelligens (Alibaba Cloud Qwen). Denne tekstgenereringen utgjør en automatisert behandling, men representerer ikke automatisert beslutningstaking i henhold til Art. 22 Abs. 1 DSGVO, da:

• De genererte tekstene ikke har rettslig virkning overfor den registrerte og ikke påvirker denne på en lignende betydelig måte.
• Tekstene kun utgjør utkast som må kontrolleres, redigeres og godkjennes av kunden før bruk.
• Ingen beslutning utelukkende er basert på automatisert behandling — kunden beholder alltid full kontroll over bruken av de genererte tekstene.

25.2 AI-støttet informasjonskapselkategorisering

Den automatiske kategoriseringen av informasjonskapsler av AI (Essensiell, Funksjonell, Analyse, Markedsføring) utgjør en støttefunksjon. Kunden kan når som helst manuelt gjennomgå og justere kategoriseringen. Det er ikke en automatisert beslutningstaking i henhold til Art. 22 DSGVO.

25.3 Bot-gjenkjenning

Den automatiserte bot-gjenkjenningen (jf. avsnitt 16) avgjør automatisk om en tilgang klassifiseres som menneskelig eller automatisert. Denne beslutningen påvirker sesjonstellingen og dermed faktureringen. Siden beslutningen utelukkende gjelder kunden (ikke nettstedbesøkende) og kunden kan følge sesjonstellingen i dashbordet, foreligger det ingen automatisert beslutningstaking i henhold til Art. 22 DSGVO som betydelig påvirker en registrert person.

25.4 Samsvars-helsepoeng

Den automatiserte beregningen av samsvars-helsepoeng (A–F) innenfor rammen av policyrevisjonen (jf. avsnitt 9) utgjør en informasjons- og støttefunksjon. Poengsummen har ingen rettslig virkning og tjener utelukkende til å informere kunden.

25.5 Transparenshinweis i henhold til EU AI Act

Vi bruker AI-systemer (Alibaba Cloud Qwen) for tekstgenerering, informasjonskapselkategorisering og policyanalyse. I henhold til åpenhetsforpliktelsene i forordning (EU) 2024/1689 (EU AI Act) gjør vi oppmerksom på at:

• AI-generert innhold merkes som sådan.
• AI simulerer ulike juridiske ekspertroller — det er ikke en gjennomgang av ekte advokater.
• Vi anbefaler på det sterkeste å få AI-genererte juridiske tekster gjennomgått av en kvalifisert advokat før produktiv bruk.

26. Endringer i personvernerklæringen

Vi forbeholder oss retten til å tilpasse denne personvernerklæringen for å tilpasse den til endrede rettsforhold, teknisk utvikling eller nye funksjonaliteter i Biscotti CMP. Den til enhver tid gjeldende versjonen er tilgjengelig på vår nettside under biscotti-cmp.com/de/datenschutz.

Ved vesentlige endringer som berører dine rettigheter eller typen databehandling, vil vi informere deg via e-post til e-postadressen som er lagret i din konto. Vi anbefaler deg å gjennomgå denne personvernerklæringen regelmessig.

27. Ansvarlig tilsynsmyndighet

Den ansvarlige datatilsynsmyndigheten for Campcruisers GmbH er:

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow
Tyskland
Telefon: +49 33203 356-0
E-mail: [email protected]
Nettsted: https://www.lda.brandenburg.de

Datasikkerhet

Vi iverksetter omfattende tekniske og organisatoriske sikkerhetstiltak i henhold til Art. 32 DSGVO for å beskytte dine personopplysninger. Dette inkluderer spesielt:

• Kryptering under overføring: TLS 1.2/1.3 for alle dataoverføringer, HTTPS-håndhevelse (HSTS)
• Kryptering i hvile: AES-256-kryptering av alle databaser og lagringsmedier på Hetzner Online GmbH, AES-256-GCM for sensitive konfigurasjonsdata (API-nøkler, BYOK-nøkler)
• Pseudonymisering: Samtykkedata knyttes til pseudonyme samtykke-ID-er, IP-adresser anonymiseres til IP-hasher
• Tilgangskontroll: Rollebasert tilgangskontroll (RBAC), prinsippet om minimale rettigheter, logisk klientseparasjon
• Autentisering: JWT-basert autentisering, Cloudflare Turnstile for beskyttelse mot bot-angrep
• Sikkerhetskopiering og gjenoppretting: Daglige automatiske sikkerhetskopier med AES-256-kryptering og SHA-256-integritetskontroll
• Revisjonslogging: Omfattende loggingsystem for alle sikkerhetsrelevante handlinger

De fullstendige tekniske og organisatoriske tiltakene (TOMs) er dokumentert i § 8 i vår databehandleravtale (AVV).