Соглашение об обработке данных

Договор об обработке данных (AVV) в соответствии со ст. 28 Общего регламента по защите данных (GDPR)

Дата: 20.03.2026

Между

зарегистрированным клиентом компании Biscotti CMP – далее именуемым «Контролером» или «Клиентом» –

и

Campcruisers GmbH Berliner Str. 21 B 14612 Фалькензее Федеративная Республика Германия

Регистрационный суд: Районный суд Потсдама Регистрационный номер: HRB 40180 P Идентификационный номер плательщика НДС: DE368000447 Налоговый номер: 29/249/36095 Представляют: Даниэль Бош (генеральный директор), Филипп Андре Маршалл (прокурист) Электронная почта: [email protected] Телефон: +49 3322 50703301 Рабочие часы: пн.-пт., 09:00 - 17:00 – далее именуемые «Обработчик данных» или «Поставщик» –

– Контролер и обработчик данных далее совместно именуются «Стороны» –

Преамбула

Добро пожаловать в Campcruisers GmbH! Мы очень рады приветствовать вас в качестве клиента. Прозрачность, высочайшие стандарты безопасности и партнерские отношения на равных условиях стоят у нас на первом месте. Защита ваших данных и данных посетителей вашего веб-сайта для нас — это не только юридическое обязательство, но и центральное обещание качества нашей компании.

Контролер использует разработанное, эксплуатируемое и распространяемое обработчиком облачное решение «Biscotti CMP» (Consent Management Platform) по модели «программное обеспечение как услуга» (SaaS). В рамках предоставления этих услуг SaaS, которые предоставляются под доменом biscotti-cmp.com, а также в приложении app.biscotti-cmp.com, обработчик данных обрабатывает персональные данные по поручению и в соответствии с указаниями ответственного лица. Настоящий договор конкретизирует обязательства сторон в области защиты данных, вытекающие из использования Biscotti CMP. Он применяется ко всем видам деятельности, связанным с основным договором (договором об использовании услуг SaaS), в ходе которых сотрудники обработчика данных или уполномоченные им третьи лица могут вступать в контакт с персональными данными контролера.

Настоящий договор является обязательным для выполнения требований Регламента (ЕС) 2016/679 (Общий регламент по защите данных – GDPR), в частности ст. 28 GDPR, а также дополнительным положениям Федерального закона о защите данных (BDSG) и Закона о защите данных в сфере телекоммуникаций и цифровых услуг (TDDDG).

[!NOTE] Заключение договора в электронной коммерции Настоящий договор заключается в электронном формате в соответствии со ст. 28 п. 9 GDPR. При регистрации он является неотъемлемой частью Общих условий (AGB) компании Biscotti CMP. Заключение договора происходит путем явного электронного согласия в ходе регистрации (например, путем нажатия кнопки подтверждения) и не требует отдельной рукописной подписи для своей действительности и юридической силы.

§ 1 Предмет и срок обработки

1.1 Предмет обработки Обработчик предоставляет Контролеру услуги в области управления согласием (Consent Management) и автоматизации соблюдения требований законодательства о защите данных. Предмет обработки персональных данных определяется основным договором, заключенным между сторонами, об использовании Biscotti CMP. Обработка включает в себя все операции с данными, необходимые для предоставления функциональных возможностей программного обеспечения, согласованных в договоре. К ним относятся, в частности, но не исключительно:

• Предоставление и размещение баннеров согласия (баннеров с информацией о файлах cookie) на веб-сайтах Контролера.
• Сбор, хранение, управление и документирование решений о согласии (согласие / отказ) конечных пользователей (посетителей веб-сайта) ответственного лица в соответствии со ст. 7 п. 1 GDPR и § 25 п. 1 TDDDG.
• Проведение сканирования файлов cookie с помощью искусственного интеллекта на веб-сайтах ответственного лица для идентификации и классификации технологий отслеживания и их сопоставления с базой данных поставщиков IAB.
• Обработка сигналов в рамках Google Consent Mode v2, IAB Transparency & Consent Framework (TCF 2.4), а также Global Privacy Control (GPC).
• Определение юрисдикции посетителя веб-сайта на основе IP-адреса для динамического отображения вариантов баннеров, соответствующих законодательству (например, GDPR, CCPA/CPRA).
• Генерация юридических текстов (импрессум, политика конфиденциальности, политика использования файлов cookie) с помощью искусственного интеллекта через встроенный помощник Legal Suite с использованием Alibaba Cloud Qwen.
• Предоставление журналов аудита (Audit-Logs), веб-хуков для уведомлений в режиме реального времени, функций A/B-тестирования, а также функций экспорта данных для соблюдения прав заинтересованных лиц в соответствии со ст. 15 GDPR.
• Управление субсчетами агентства в рамках тарифа «Agency», включая управление клиентами и брендинг под белой маркой.

1.2 Срок обработки Срок действия настоящего договора о обработке данных зависит от срока действия основного договора об использовании Biscotti CMP. Договор вступает в силу с момента регистрации ответственного лица и активации учетной записи (для бесплатных тарифных планов) или с момента подтверждения оплаты (для платных тарифных планов, таких как Starter, Growth, Business, Agency). Он автоматически заканчивается с прекращением действия основного договора, независимо от правового основания (например, в результате обычного расторжения, внеочередного расторжения или удаления учетной записи). Срок уведомления о расторжении основного договора составляет 1 день до окончания соответствующего расчетного периода. Положения настоящего договора, которые по своему характеру должны действовать и после его расторжения (в частности, положения об удалении и возврате данных, а также вопросы ответственности), остаются в силе после расторжения.

§ 2 Вид и цель обработки

2.1 Вид обработки Вид обработки включает сбор, регистрацию, организацию, систематизацию, хранение, адаптацию или изменение, считывание, запрос, использование, раскрытие посредством передачи, распространения или иной формы предоставления, сопоставление или связывание, ограничение, удаление или уничтожение данных. Обработка осуществляется преимущественно в автоматическом режиме в облачной инфраструктуре обработчика данных (например, размещенной на платформе Hetzner Online GmbH, серверы которой, как правило, находятся в Европейском союзе).

2.2 Цель обработки Цель обработки заключается исключительно в выполнении договорных обязательств по основному договору. Это включает:

• Подтверждение согласия: хранение данных о согласии для выполнения обязательств по отчетности ответственного лица в соответствии со ст. 5, п. 2 в совокупности со ст. 7, п. 1 GDPR.
• Техническое обеспечение: отображение баннера согласия и обеспечение функциональности веб-сайта ответственного лица с учетом предпочтений пользователей.
• Анализ соответствия: автоматизированная проверка веб-сайтов ответственного лица на наличие рисков в области защиты данных (сканер файлов cookie).
• Составление юридических текстов: обработка данных о компании и контактных данных ответственного лица для создания индивидуальных юридических текстов с помощью искусственного интеллекта.
• Расчеты и управление учетными записями: управление учетными записями пользователей, назначение лимитов сеансов (например, 5 000 сеансов в тарифе «Free», 500 000 в тарифе «Business») и обработка переносов сеансов.
• Управление агентством: обеспечение возможности управления до 25 субсчетами в тарифе «Агентство», включая предоставление страниц для реселлеров и функций рассылки электронной почты.

Обработка данных для собственных целей обработчика, в частности, для собственных рекламных целей или для создания профилей пользователей, выходящих за рамки договорного предоставления услуг, строго запрещена, за исключением случаев, когда имеется явное разрешение закона или отдельное согласие.

§ 3 Тип персональных данных

В рамках обработки данных по заказу обрабатываются следующие категории персональных данных. Контролер самостоятельно определяет точный объем данных посредством использования Biscotti CMP и настройки программного обеспечения:

• Данные о согласии: решения (согласие / отказ для различных категорий, таких как «Необходимые», «Функциональные», «Аналитика», «Маркетинг», «Услуги ИИ»), временные метки (дата и точное время предоставления согласия), уникальный идентификационный номер (для псевдонимного сопоставления решения с соответствующим конечным устройством/браузером).
• Технические данные: IP-адреса (обрабатываются в первую очередь для определения юрисдикции на основе местоположения и, как правило, немедленно анонимизируются/сокращаются, если ответственное лицо не настроило иное), информация о браузере, информация об устройстве, строки пользовательского агента, данные сеанса.
• Данные файлов cookie и трекеров: результаты сканирования веб-сайтов ответственного лица, включая обнаруженные файлы cookie, содержимое локальной памяти, трекеры сторонних поставщиков и их классификацию.
• Контент, сгенерированный ИИ: данные, которые ответственное лицо вводит в помощник Legal Suite для генерации юридических текстов (политика конфиденциальности, выходные данные, общие условия). Это может включать данные о компании, имена уполномоченных лиц, адреса и конкретные действия по обработке, которые обрабатываются через API Alibaba Cloud Qwen.
• Контактные данные (владельцы учетных записей): имя и фамилия, адрес электронной почты, название компании, почтовый адрес, номер телефона, идентификационный номер налогоплательщика (ИНН) клиентов или владельцев учетных записей.
• Данные об использовании: действия в панели управления, статистика баннеров (просмотры, взаимодействия, коэффициенты принятия), отчеты о соответствии, журналы проверки изменений учетной записи.
• Платежные данные: платежная информация, обрабатываемая через платежного оператора Stripe (при этом данные кредитных карт токенизируются непосредственно в Stripe и не хранятся в открытом виде у обработчика данных).

§ 4 Категории заинтересованных лиц

Обработка затрагивает следующие категории заинтересованных лиц:

• Посетители веб-сайта (конечные пользователи): физические лица, которые посещают веб-сайты контролера и чьи решения о согласии запрашиваются, обрабатываются и сохраняются через баннер Biscotti CMP.
• Клиенты (владельцы учетных записей): физические лица, индивидуальные предприниматели или представители юридических лиц, которые в качестве договорных партнеров обработчика данных зарегистрировали учетную запись в Biscotti CMP.
• Члены команды и сотрудники: лица, приглашенные владельцем учетной записи (ответственным лицом) в качестве дополнительных пользователей в панель управления Biscotti CMP для управления системой.
• Клиенты агентств (владельцы суб-аккаунтов): конечные клиенты агентств, которые используют тариф «Agency» и для которых были созданы суб-аккаунты.

§ 5 Обязанности и права ответственного лица

5.1 Законность обработки Ответственность за оценку допустимости порученной обработки, а также за соблюдение прав заинтересованных лиц несет исключительно ответственный (ст. 4 п. 7 GDPR). Контролер обеспечивает наличие действительного правового основания (например, согласие в соответствии со ст. 6 п. 1 лит. a GDPR или законный интерес в соответствии со ст. 6 п. 1 лит. f GDPR) для обработки персональных данных обработчиком. Это относится, в частности, к использованию Biscotti CMP для получения согласий в соответствии с § 25 п. 1 TDDDG.

5.2 Обязанности по информированию Контролер несет полную ответственность за то, чтобы прозрачно, точно и своевременно информировать заинтересованных лиц (в частности, посетителей веб-сайта) об обработке данных в соответствии со ст. 13 и ст. 14 GDPR. Для этого обработчик данных предоставляет ответственному лицу необходимую техническую информацию о функционировании Biscotti CMP, а также образцы текстов через помощник Legal Suite. Юридическая проверка и интеграция заявления о защите данных лежат на ответственном лице.

5.3 Использование агентством и реселлером Если ответственное лицо использует тариф «Agency» и создает субсчета для своих собственных клиентов, оно остается единственным договорным партнером по отношению к обработчику данных и ответственным лицом в соответствии с законодательством о защите данных. Контролер гарантирует, что у него имеются необходимые договорные соглашения (включая собственные договоры о обработке данных) со своими конечными клиентами. Если контролер создает сайт реселлера или использует собственные почтовые серверы под собственным доменом, он несет единоличную ответственность в соответствии с законодательством о защите данных и антимонопольным законодательством за эту инфраструктуру. Обработчик данных не несет за это никакой ответственности.

5.4 Сообщение об ошибках Контролер должен незамедлительно и в полном объеме проинформировать обработчика, если при проверке результатов выполнения заказа он обнаружит ошибки или нарушения в отношении положений законодательства о защите данных.

§ 6 Право Контролера давать указания

6.1 Вид и объем указаний Обработка персональных данных осуществляется обработчиком исключительно на основании задокументированных указаний контролера, за исключением случаев, когда он обязан это делать в соответствии с законодательством Союза или государств-членов, которому он подчиняется (ст. 28 п. 3 лит. а) GDPR). В таком случае обработчик данных уведомляет ответственного лица об этом правовом требовании до начала обработки, если соответствующее законодательство не запрещает такое уведомление в связи с важными общественными интересами.

Основной договор, а также настоящие ОУП представляют собой первоначальные задокументированные инструкции. Использование функций Biscotti CMP (например, настройка баннера, запуск сканирования, генерация текстов) ответственным лицом в панели управления считается задокументированной отдельной инструкцией.

6.2 Форма указаний Как правило, указания могут даваться через пользовательский интерфейс программного обеспечения (приложения). Дополнительные указания должны даваться в текстовой форме (например, по электронной почте на адрес [email protected]). Устные указания должны немедленно подтверждаться Контролером в текстовой форме.

6.3 Возражения против указаний Обработка данных незамедлительно информирует ответственное лицо, если считает, что какое-либо указание нарушает GDPR, BDSG или другие положения о защите данных Союза или государств-членов. Обработка данных вправе приостановить выполнение соответствующего указания до тех пор, пока оно не будет подтверждено или изменено ответственным лицом. Очевидно незаконные указания обработчик данных вправе отклонить.

§ 7 Обязательство о конфиденциальности

7.1 Обязательства сотрудников Обработчик данных подтверждает, что он обязал всех лиц, уполномоченных обрабатывать персональные данные Контролера (сотрудников, внештатных сотрудников, органы), соблюдать конфиденциальность до начала деятельности (ст. 28 п. 3 лит. b GDPR) или что на них распространяется соответствующая установленная законом обязанность соблюдать конфиденциальность. Данное обязательство также включает в себя секретность данных и сохраняется даже после прекращения деятельности или трудовых отношений.

7.2 Обучение и информирование Обработчик данных обеспечивает, чтобы лица, уполномоченные на обработку, регулярно проходили инструктаж и информировались о положениях по защите данных (GDPR, BDSG) и безопасности данных. Обработчик данных, в лице руководства (Даниэль Бош, Филипп Андре Маршалл), обеспечивает корпоративную культуру, соответствующую требованиям защиты данных.

7.3 Уполномоченный по защите данных Обработчик данных назначил компетентного и надежного уполномоченного по защите данных, если это требуется по закону в соответствии с § 38 абз. 1 BDSG или ст. 37 GDPR (например, при наличии, как правило, не менее 20 человек, постоянно занятых автоматизированной обработкой).

Если законодательная обязанность по назначению отсутствует, обработчик данных тем не менее обеспечивает, чтобы обязательства по защите данных полностью контролировались и соблюдались руководством.

§ 8 Технико-организационные меры (ТОМ) в соответствии со ст. 32 GDPR

8.1 Принцип безопасности обработки Обработка данных заявляет обязывающим образом, что с учетом уровня развития технологий, затрат на внедрение, а также характера, объема, обстоятельств и целей обработки, а также различной вероятности возникновения и серьезности риска для прав и свобод физических лиц, принял надлежащие технические и организационные меры (ТОМ), чтобы обеспечить уровень защиты, соответствующий риску (ст. 32 GDPR). Эти меры ориентированы на признанные стандарты ИТ-безопасности (таких как ISO 27001 и SOC 2).

8.2 Конкретные меры Обработка данных осуществляется, в частности, путем реализации следующих мер, которые поддерживаются в течение всего срока действия договора:

a) Псевдонимизация и шифрование (ст. 32 п. 1 лит. a GDPR)

• Шифрование при передаче: вся передача данных между конечным пользователем, контролером и инфраструктурой Biscotti CMP обязательно осуществляется с использованием самых современных протоколов шифрования (TLS 1.2 или TLS 1.3).
• Шифрование в состоянии покоя: все базы данных и носители информации на платформе Google Cloud (расположение серверов в Нидерландах) зашифрованы на уровне жестких дисков (AES-256).
• Псевдонимизация: решения о предоставлении согласия связываются не с реальными именами, а со случайно сгенерированным криптографическим идентификационным номером. IP-адреса по умолчанию сокращаются/анонимизируются, как только завершается привязка к местоположению.

б) Конфиденциальность (контроль доступа)

• Контроль доступа: Физическая безопасность используемых серверов обеспечивается внешним поставщиком инфраструктурных услуг (например, Google Cloud). Центры обработки данных подлежат строгим, принятым в отрасли, мерам контроля доступа и безопасности. Собственные офисные помещения Campcruisers GmbH защищены надлежащими физическими ограничениями доступа (например, замками безопасности).
• Контроль доступа: доступ к ИТ-системам обработчика данных защищен ограничительными правилами в отношении паролей, многофакторной аутентификацией (MFA) для соответствующих административных доступов, а также тайм-аутами сеансов. Для защиты попыток входа от атак ботов используются такие системы, как Cloudflare Turnstile.
• Контроль доступа: действует принцип минимального предоставления прав (Role-Based Access Control — RBAC). Сотрудники обработчика данных имеют доступ только к тем данным, которые абсолютно необходимы для выполнения их конкретных задач. Данные клиентов разных тарифных планов логически отделены друг от друга (многопользовательский режим).

c) Целостность (контроль передачи, ввода и разделения)

• Контроль передачи: данные не транспортируются на физических носителях. Передача осуществляется исключительно через защищенные сети.
• Контроль ввода: Biscotti CMP располагает исчерпывающим журналом проверок (аудиторским журналом). В любой момент можно отследить, какой пользователь (клиент, член команды, агентство) в какой момент внес какие изменения в панель управления (например, изменение текстов баннеров, настройка категорий файлов cookie).
• Контроль разделения: данные, собранные для разных целей, обрабатываются отдельно. Производственная, тестовая и разработческая среды строго изолированы друг от друга.

d) Доступность и отказоустойчивость (ст. 32 п. 1 лит. b и c GDPR)

• Доступность: Обработка данных осуществляется с использованием стандартных для отрасли и адекватных мер по обеспечению доступности систем (хостинг на платформе Google Cloud). Однако явные показатели доступности по SLA не гарантируются, и полной избыточности инфраструктуры не существует.
• Нагрузочная способность: Архитектура системы спроектирована таким образом, что ожидаемые объемы сеансов, как правило, надежно обрабатываются. Однако специальные механизмы балансировки нагрузки или автоматического масштабирования (Auto-Scaling) не используются.
• Восстанавливаемость: Обработка данных осуществляется с помощью соответствующих мер (например, регулярного резервного копирования баз данных), чтобы обеспечить восстановление данных в случае технического инцидента. Однако гарантия восстановления без потери данных не предоставляется, поэтому ответственное лицо призывается самостоятельно использовать доступные функции экспорта.

e) Процедуры регулярной проверки (ст. 32 п. 1 лит. d GDPR)

• Обработчик данных регулярно проводит внутреннюю проверку эффективности принятых технических и организационных мер.
• Существуют внутренние процессы реагирования на инциденты безопасности (Incident-Response), позволяющие противодействовать потенциальным инцидентам в рамках законодательства.
• ТОМ подлежат процессу непрерывного совершенствования.

8.3 Адаптация ТОМ Технические и организационные меры подвержены техническому прогрессу и дальнейшему развитию. Обработка данных имеет право внедрять альтернативные адекватные меры, при условии, что уровень безопасности не будет ниже уровня установленных мер. О существенных изменениях необходимо уведомлять ответственное лицо в письменной форме.

§ 9 Субподрядчики

9.1 Привлечение субподрядчиков Настоящим Контролер предоставляет Обработчику общее письменное разрешение (ст. 28, п. 2 GDPR) на привлечение дополнительных обработчиков (субподрядчиков). Обработчик данных гарантирует, что он тщательно отбирает субподрядчиков и обязывает их по договору выполнять те же обязательства по защите данных, которые закреплены в настоящем договоре (ст. 28, п. 4 GDPR).

9.2 В настоящее время утвержденные субподрядчики На момент заключения договора следующие субподрядчики осуществляют деятельность по предоставлению услуг Biscotti CMP и считаются утвержденными Контролером. Обработчик данных обеспечил, чтобы в случае американских поставщиков в качестве договорного партнера выступало соответствующее представительство в ЕС, с целью соблюдения уровня защиты данных, установленного в ЕС:

9.3 Передача данных в третьи страны Если обработка осуществляется субподрядчиками за пределами Европейского союза (ЕС) или Европейского экономического пространства (ЕЭП) (например, в случае Resend), обработчик данных обеспечивает соблюдение особых требований, предусмотренных ст. 44 и далее Общего регламента по защите данных (GDPR). Как правило, это достигается путем заключения действующих стандартных договорных условий (SCC) Европейской комиссии в сочетании с оценкой последствий передачи данных (Transfer Impact Assessment) и внедрением дополнительных технических мер (например, шифрования).

9.4 Смена или привлечение новых субподрядчиков Обработка данных будет информировать ответственное лицо о любом намерении изменить состав субподрядчиков или привлечь новых. Информация предоставляется в текстовом виде (например, по электронной почте на адрес, указанный в учетной записи) не позднее чем за 30 дней до запланированного изменения. Контролер может опротестовать изменение по веской причине, связанной с законодательством о защите данных, в течение 14 дней после получения уведомления. Если возражения не поступает, изменение считается одобренным. В случае обоснованного возражения, которое обработчик данных не может устранить с помощью разумных мер, ответственное лицо имеет право расторгнуть основной договор в чрезвычайном порядке с момента вступления изменения в силу.

§ 10 Содействие в осуществлении прав заинтересованных лиц

10.1 Обязанность оказывать поддержку Обработка данных оказывает ответственному лицу, по мере возможности, поддержку с помощью соответствующих технических и организационных мер в выполнении его обязанности по ответу на запросы о реализации прав заинтересованных лиц, указанных в главе III GDPR (ст. 15–22 GDPR) (ст. 28, п. 3, лит. e GDPR).

10.2 Техническая реализация в Biscotti CMP Biscotti CMP направлена на оказание технической поддержки контролеру в выполнении его обязательств:

• Право на доступ к данным (ст. 15 GDPR) и право на переносимость данных (ст. 20 GDPR): Программное обеспечение предоставляет возможности экспорта данных (например, в формате CSV), либо можно запросить экспорт конкретных идентификаторов согласия у службы поддержки в соответствии с требованиями защиты данных.
• Право на отзыв (ст. 7, п. 3 GDPR): баннер согласия Biscotti CMP предоставляет конечным пользователям возможность просматривать сделанные настройки и отзывать их в любое время.
• Право на удаление (ст. 17 GDPR): Собранные данные могут быть удалены контролером с помощью функций, доступных в панели управления, или, при наличии подтверждающих документов, их удаление может быть инициировано в службе поддержки.

10.3 Передача запросов Если заинтересованное лицо осуществляет свои права непосредственно в отношении обработчика, последний не отвечает на запрос самостоятельно, а незамедлительно направляет заинтересованное лицо к ответственному лицу, если на основании имеющихся данных возможна привязка к ответственному лицу. Обработка незамедлительно передает запрос ответственному лицу.

§ 11 Поддержка при проведении оценки воздействия на защиту данных (DSFA) и выполнении обязательств по уведомлению

11.1 Оценка воздействия на защиту данных (ст. 35 GDPR) Обработчик данных оказывает поддержку контролеру, с учетом характера обработки и имеющейся у него информации, в проведении оценки последствий для защиты данных (DSFA) в соответствии со ст. 35 GDPR, а также в случае необходимости предварительной консультации с надзорным органом (ст. 36 GDPR).

11.2 Уведомление о нарушениях защиты персональных данных Обработка данных обязана незамедлительно, но не позднее чем в течение 48 часов после получения информации, в письменной форме уведомлять ответственного о любом нарушении защиты персональных данных (утечке данных), касающемся данных, обрабатываемых по поручению.

§ 12 Удаление и возврат данных

12.1 Удаление после окончания срока действия договора После завершения оказания услуг по обработке (прекращение основного договора) обработчик данных обязан, по выбору контролера, либо удалить, либо вернуть все персональные данные, если только в соответствии с законодательством ЕС или законодательством государств-членов (например, обязательства по хранению данных в соответствии с торговым и налоговым законодательством согласно ГК и НК) не существует обязательства по хранению персональных данных.

12.2 Стандартный процесс Biscotti CMP Если ответственное лицо не дает иных указаний, применяется следующий стандартный процесс: ответственное лицо имеет возможность самостоятельно сохранить свои данные до окончания срока действия договора с помощью функции экспорта (CSV). После вступления в силу расторжения договора и истечения расчетного периода учетная запись ответственного лица деактивируется. Персональные данные, сохраненные в учетной записи, хранятся в течение переходного периода в 30 дней (срок хранения), чтобы обеспечить возможность восстановления в случае случайного понижения уровня обслуживания. По истечении этих 30 дней данные безвозвратно удаляются из рабочих систем в соответствии с требованиями о защите данных.

12.3 Подтверждение удаления По явному запросу ответственного лица обработчик данных подтверждает ему в письменной форме удаление данных в соответствии с требованиями о защите данных.

§ 13 Права на контроль и аудит

13.1 Право на проверку Обработка данных предоставляет ответственному лицу всю необходимую информацию для подтверждения соблюдения обязательств, закрепленных в ст. 28 GDPR и в настоящем договоре. Он обеспечивает возможность проведения проверок, включая инспекции, которые осуществляются ответственным лицом или уполномоченным им проверяющим, обязанным соблюдать конфиденциальность, и содействует их проведению.

13.2 Проведение аудитов Чтобы не ставить под угрозу безопасность центров обработки данных и конфиденциальность данных других клиентов (разделение клиентов), стороны согласовывают следующий порядок проведения аудитов:

• Ответственное лицо будет осуществлять свое право контроля в первую очередь путем запроса и оценки значимых сертификатов (например, ISO 27001) или посредством подробных анкет по ИТ-безопасности.
• Если этой информации окажется недостаточно, Ответственное лицо имеет право провести проверку на месте в офисных помещениях компании Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• О выездных проверках следует уведомлять заранее с соблюдением разумного срока (как правило, не менее 14 дней).

§ 14 Ответственность и возмещение ущерба

14.1 Внешние отношения (по отношению к заинтересованным лицам) Ответственность за возмещение ущерба несет ответственное лицо и обработчик данных перед заинтересованным лицом в соответствии со ст. 82 GDPR. Обработчик данных несет ответственность за ущерб, причиненный в результате обработки, только в том случае, если он не выполнил свои обязательства по GDPR или действовал в нарушение законно данных указаний ответственного лица.

14.2 Внутренние отношения (между сторонами) В рамках внутренних отношений стороны освобождаются от ответственности, если одна из сторон докажет, что она никоим образом не несет ответственности за обстоятельство, повлекшее ущерб.

14.3 Ограничение ответственности по основному договору В дополнение к этому применяются положения об ответственности, предусмотренные основным договором (Общие условия). Ответственность за легкую небрежность исключается, за исключением случаев нарушения существенных договорных обязательств (основных обязательств). В этом случае ответственность ограничивается типичным для данного договора, предсказуемым ущербом.

§ 15 Заключительные положения

15.1 Письменная форма и изменения Изменения и дополнения к настоящему договору должны быть оформлены в письменной форме (например, по электронной почте). Обработчик данных оставляет за собой право вносить изменения в настоящий договор с целью его адаптации к изменившейся правовой ситуации или техническому прогрессу. Контролер данных будет проинформирован об изменениях по электронной почте.

15.2 Иерархия В случае противоречия отдельных положений настоящего договора об обработке данных положениям основного договора (Общие условия), приоритет имеют положения настоящего договора об обработке данных в отношении защиты и безопасности данных.

15.3 Оговорка о сохранении силы . Если отдельные положения настоящего договора являются или станут недействительными или невыполнимыми, это не затрагивает действительность остальных положений. Стороны обязуются заменить недействительное или невыполнимое положение действительным и выполнимым положением.

15.4 Применимое право и юрисдикция Настоящий договор подчиняется исключительно праву Федеративной Республики Германия с исключением Конвенции ООН о договорах международной купли-продажи. Исключительной юрисдикцией для всех споров, вытекающих из настоящего договора или связанных с ним, является, насколько это допускается законом, местонахождение обработчика данных (Фалькензее). Языком договора является немецкий.