Pogodba o obdelavi podatkov

Pogodba o obdelavi podatkov (AVV) v skladu s členom 28 GDPR

Stanje: 20.03.2026

Med

registriranim strankam podjetja Biscotti CMP – v nadaljevanju imenovanim »upravljavec« ali »stranka« –

in

družbo Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Zvezna republika Nemčija

Sodišče za vpis v register: Okrožno sodišče Potsdam Številka vpisa v register: HRB 40180 P Številka DDV: DE368000447 Davčna številka: 29/249/36095 Zastopata: Daniel Bosch (izvršni direktor), Philipp André Marschall (pooblaščenec) E-pošta: [email protected] Telefon: +49 3322 50703301 Delovni čas: pon–pet, 09:00–17:00 – v nadaljevanju imenovana »obdelovalec« ali »ponudnik« –

– upravljavec in obdelovalec v nadaljevanju skupaj imenovana tudi »stranki« –

Uvod

Dobrodošli v podjetju Campcruisers GmbH! Zelo smo veseli, da vas lahko pozdravimo kot stranko. Preglednost, najvišji varnostni standardi in partnersko sodelovanje na enakopravni ravni so za nas na prvem mestu. Varstvo vaših podatkov in podatkov obiskovalcev vaše spletne strani ni za nas le zakonska obveznost, temveč osrednja obljuba kakovosti našega podjetja.

Upravljavec uporablja rešitev »Biscotti CMP« (Consent Management Platform), ki jo je razvil, upravlja in trži obdelovalec podatkov, in sicer gre za rešitev »Software-as-a-Service« (SaaS) v oblaku. V okviru izvajanja teh storitev SaaS, ki so na voljo pod domeno biscotti-cmp.com ter v aplikaciji app.biscotti-cmp.com, obdelovalec obdeluje osebne podatke v imenu in po navodilih upravljavca. Ta pogodba konkretizira obveznosti strank v zvezi z varstvom podatkov, ki izhajajo iz uporabe Biscotti CMP. Velja za vse dejavnosti, ki so povezane z glavno pogodbo (pogodba o uporabi storitev SaaS) in pri katerih lahko zaposleni obdelovalca podatkov ali tretje osebe, ki jih ta pooblasti, pridejo v stik z osebnimi podatki upravljavca.

Ta pogodba je nujno potrebna za izpolnitev zahtev Uredbe (EU) 2016/679 (Splošna uredba o varstvu podatkov – GDPR), zlasti člena 28 GDPR, ter dopolnilnih določb Zveznega zakona o varstvu podatkov (BDSG) in Zakona o varstvu podatkov v telekomunikacijskih in digitalnih storitvah (TDDDG).

[!OPOMBA] Sklenitev pogodbe v elektronskem poslovanju Ta pogodba se sklene v elektronski obliki v skladu s členom 28(9) GDPR. Ob prijavi/registraciji s strani upravljavca je sestavni del splošnih pogojev poslovanja (AGB) podjetja Biscotti CMP. Sklenitev pogodbe poteka z izrecnim elektronskim soglasjem v okviru registracije (npr. s klikom na potrditveni gumb) in za svojo veljavnost in pravno učinkovitost ne potrebuje posebnega, lastnoročnega podpisa.

§ 1 Predmet in trajanje obdelave

1.1 Predmet obdelave Obdelovalec podatkov za upravljavca opravlja storitve na področju upravljanja soglasij (Consent Management) in avtomatizacije skladnosti z zakonodajo o varstvu podatkov. Predmet obdelave osebnih podatkov izhaja iz glavne pogodbe o uporabi Biscotti CMP, sklenjene med strankama. Obdelava vključuje vse postopke v zvezi s podatki, ki so potrebni za zagotavljanje pogodbeno dogovorjenih funkcionalnosti programske opreme. To vključuje zlasti, vendar ne izključno:

• Zagotavljanje in dostava pasic za soglasje (pasic za piškotke) na spletnih straneh upravljavca.
• Zbiranje, shranjevanje, upravljanje in dokumentiranje odločitev o soglasju (soglasje/zavrnitev) končnih uporabnikov (obiskovalcev spletne strani) upravljavca v skladu s členom 7(1) GDPR in § 25(1) TDDDG.
• Izvajanje AI-podprtih pregledov piškotkov na spletnih straneh upravljavca za identifikacijo in kategorizacijo tehnologij sledenja ter njihovo primerjavo z bazo podatkov ponudnikov IAB.
• Obdelava signalov v okviru Google Consent Mode v2, IAB Transparency & Consent Framework (TCF 2.4) ter Global Privacy Control (GPC).
• Ugotavljanje pristojnosti obiskovalca spletne strani na podlagi IP-naslova za dinamično prikazovanje različic pasic, ki so v skladu z zakonodajo (npr. GDPR, CCPA/CPRA).
• Ustvarjanje pravnih besedil (impresum, izjava o varstvu podatkov, politika piškotkov) s pomočjo umetne inteligence prek integriranega pomočnika Legal Suite z uporabo Alibaba Cloud Qwen.
• Zagotavljanje revizijskih dnevnikov (audit logs), webhookov za obveščanje v realnem času, funkcionalnosti A/B testiranja ter funkcij izvoza podatkov za izpolnjevanje pravic posameznikov v skladu s členom 15 GDPR.
• Upravljanje podračunov agencije v okviru tarife „Agency“, vključno z upravljanjem strank in blagovno znamko White Label.

1.2 Trajanje obdelave Trajanje te pogodbe o obdelavi podatkov je odvisno od trajanja osnovne pogodbe o uporabi Biscotti CMP. Pogodba začne veljati z registracijo upravljavca in aktivacijo računa (pri brezplačnih tarifah) oziroma s potrditvijo plačila (pri plačljivih tarifah, kot so Starter, Growth, Business, Agency). Pogodba se samodejno preneha z iztekom glavne pogodbe, ne glede na pravni razlog (npr. z redno odpovedjo, izredno odpovedjo ali izbrisom računa). Odpovedni rok za glavno pogodbo je 1 dan pred koncem zadevnega obračunskega obdobja. Določbe te pogodbe, ki po svoji naravi veljajo tudi po prenehanju (zlasti določbe o izbrisu in vrnitvi podatkov ter vprašanja odgovornosti), ostanejo po prenehanju nespremenjene.

§ 2 Vrsta in namen obdelave

2.1 Vrsta obdelave Vrsta obdelave vključuje zbiranje, zajemanje, organizacijo, urejanje, shranjevanje, prilagajanje ali spreminjanje, branje, poizvedovanje, uporabo, razkritje s prenosom, razširjanjem ali drugo obliko dajanja na voljo, primerjanje ali povezovanje, omejevanje, izbris ali uničenje podatkov. Obdelava poteka predvsem avtomatizirano v oblačni infrastrukturi obdelovalca (npr. gostovanje na platformi Google Cloud, lokacija strežnika običajno v Evropski uniji).

2.2 Namen obdelave Namen obdelave je izključno izpolnjevanje pogodbenih obveznosti iz glavne pogodbe. To vključuje:

• Dokazljivost soglasja: shranjevanje podatkov o soglasju za izpolnitev obveznosti odgovornosti upravljavca v skladu s členom 5(2) v povezavi s členom 7(1) GDPR.
• Tehnično zagotavljanje: prikaz pasice za soglasje in zagotavljanje funkcionalnosti spletne strani upravljavca ob upoštevanju uporabniških preferenc.
• Analiza skladnosti: avtomatizirano preverjanje spletnih strani upravljavca glede tveganj v zvezi z varstvom podatkov (skener piškotkov).
• Priprava pravnih besedil: obdelava podatkov o podjetju in kontaktnih podatkov upravljavca za AI-podprto pripravo pravnih besedil po meri.
• Zaračunavanje in upravljanje računov: upravljanje uporabniških računov, dodeljevanje omejitev sej (npr. 5.000 sej v brezplačnem paketu, 500.000 v poslovnem paketu) in obdelava prenosov sej.
• Upravljanje agencije: omogočanje upravljanja do 25 podračunov v paketu Agency, vključno z zagotavljanjem strani za preprodajalce in funkcij za pošiljanje e-pošte.

Obdelava podatkov za lastne namene obdelovalca, zlasti za lastne oglaševalske namene ali za ustvarjanje profilov uporabnikov, ki presegajo pogodbeno izvajanje storitev, je strogo prepovedana, razen če obstaja izrecno zakonsko dovoljenje ali ločena privolitev.

§ 3 Vrsta osebnih podatkov

V okviru obdelave po naročilu se obdelujejo naslednje kategorije osebnih podatkov. Upravljavec sam določi natančen obseg podatkov z uporabo Biscotti CMP in konfiguracijo programske opreme:

• Podatki o soglasju: odločitve (soglasje/zavrnitev za različne kategorije, kot so bistveni, funkcionalni, analitični, tržni, storitve umetne inteligence), časovni žig (datum in natančen čas soglasja), edinstvena identifikacijska številka (za psevdonimno dodelitev odločitve posameznemu končnemu napravi/brskalniku).
• Tehnični podatki: IP-naslovi (se obdelujejo predvsem za lokacijsko prepoznavanje jurisdikcije in se praviloma takoj anonimizirajo/skrajšajo, če upravljavec ne določi drugačne konfiguracije), informacije o brskalniku, informacije o napravi, nizi uporabniškega agenta, podatki o seji.
• Podatki o piškotkih in sledilcih: Rezultati skeniranja spletnih strani upravljavca, vključno z najdenimi piškotki, vsebino lokalnega pomnilnika, sledilci tretjih ponudnikov in njihova klasifikacija.
• Vsebine, ki jih ustvari umetna inteligenca: podatki, ki jih upravljavec vnese v pomočnika Legal Suite za ustvarjanje pravnih besedil (izjava o varstvu podatkov, pravni napisi, splošni pogoji poslovanja). To lahko vključuje podatke o podjetju, imena pooblaščenih zastopnikov, naslove in specifične dejavnosti obdelave, ki se obdelujejo prek Alibaba Cloud Model Studio (Qwen) API.
• Kontaktni podatki (imetniki računov): ime in priimek, e-poštni naslov, ime podjetja, naslov, telefonska številka, identifikacijska številka za davek na dodano vrednost (DDV) strank oziroma imetnikov računov.
• Podatki o uporabi: dejavnosti na nadzorni plošči, statistike pasic (ogledi, interakcije, stopnje sprejemljivosti), poročila o skladnosti, revizijski dnevniki o spremembah računa.
• Podatki o plačilih: podatki o zaračunavanju, ki se obdelujejo prek ponudnika plačilnih storitev Stripe (pri čemer se podatki o kreditnih karticah tokenizirajo neposredno pri Stripe in se ne shranjujejo v čisti obliki pri obdelovalcu).

§ 4 Kategorije posameznikov, na katere se nanaša obdelava

Obdelava zadeva naslednje kategorije posameznikov, na katere se nanaša obdelava:

• Obiskovalci spletne strani (končni uporabniki): Fizične osebe, ki obiščejo spletne strani upravljavca in katerih odločitve o privolitvi se zbirajo, obdelujejo in shranjujejo prek pasice Biscotti CMP.
• Stranke (imetniki računov): Fizične osebe, samostojni podjetniki ali zastopniki pravnih oseb, ki so kot pogodbeni partnerji obdelovalca podatkov registrirali račun pri Biscotti CMP.
• Člani ekipe in zaposleni: osebe, ki jih je imetnik računa (upravljavec) povabil v nadzorno ploščo Biscotti CMP kot dodatne uporabnike za upravljanje sistema.
• Stranke agencij (imetniki podračunov): Končne stranke agencij, ki uporabljajo tarifo „Agency“ in za katere so bili ustvarjeni podračuni.

§ 5 Obveznosti in pravice upravljavca

5.1 Zakonitost obdelave Za oceno dopustnosti naročene obdelave ter za varstvo pravic posameznikov, na katere se nanašajo osebni podatki, je odgovoren izključno odgovorni (člen 4(7) GDPR). Upravljavec zagotovi, da obstaja veljavna pravna podlaga (npr. privolitev v skladu s členom 6(1)(a) GDPR ali zakoniti interes v skladu s členom 6(1)(f) GDPR) za obdelavo osebnih podatkov s strani obdelovalca. To velja zlasti za uporabo Biscotti CMP za pridobivanje soglasij v skladu s § 25(1) TDDDG.

5.2 Obveznosti obveščanja Upravljavec je v celoti odgovoren za to, da posameznike, na katere se nanašajo osebni podatki (zlasti obiskovalce spletne strani), v skladu s členoma 13 in 14 GDPR pregledno, natančno in pravočasno obvesti o obdelavi podatkov. Obdelovalec podatkov upravljavcu za ta namen prek pomočnika Legal Suite zagotovi potrebne tehnične informacije o delovanju Biscotti CMP ter vzorčne besedila. Pravna preveritev in vključitev izjave o varstvu podatkov je v pristojnosti upravljavca.

5.3 Uporaba agencij in pre prodajalcev Če upravljavec uporablja tarifo »Agency« in ustvari podračune za svoje stranke, ostane upravljavec v razmerju do obdelovalca edini pogodbeni partner in odgovoren za varstvo podatkov. Odgovorna oseba jamči, da ima sklenjene potrebne pogodbene sporazume (vključno z lastnimi pogodbami o obdelavi podatkov) s svojimi končnimi strankami. Če odgovorna oseba vzpostavi stran za preprodajalce ali uporablja lastne e-poštne strežnike pod lastno domeno, nosi izključno odgovornost v zvezi z varstvom podatkov in konkurenčnim pravom za to infrastrukturo. Izvajalec obdelave za to ne prevzema nobene odgovornosti.

5.4 Prijava napak Odgovorna oseba mora obdelovalca podatkov nemudoma in v celoti obvestiti, če pri pregledu rezultatov naročila ugotovi napake ali nepravilnosti v zvezi z določbami o varstvu osebnih podatkov.

§ 6 Pravica upravljavca do dajanja navodil

6.1 Vrsta in obseg navodil Obdelovalec obdeluje osebne podatke izključno na podlagi dokumentiranih navodil upravljavca, razen če ga k temu ne zavezuje pravo Unije ali držav članic, ki mu velja (člen 28(3)(a) Splošne uredbe o varstvu podatkov). V takem primeru obdelovalec podatkov pred obdelavo obvesti upravljavca o tej pravni zahtevi, razen če zadevno pravo takšnega obvestila ne prepoveduje zaradi pomembnega javnega interesa.

Glavna pogodba in ti Splošni pogoji predstavljajo začetno dokumentirano navodilo. Uporaba funkcij Biscotti CMP (npr. konfiguracija pasice, zagon skeniranja, generiranje besedil) s strani upravljavca v nadzornem panelu velja za dokumentirano posamezno navodilo.

6.2 Oblika navodil Navodila se praviloma lahko dajo prek uporabniškega vmesnika programske opreme (aplikacije). Dodatna navodila je treba dati v pisni obliki (npr. po e-pošti na [email protected]). Ustna navodila mora upravljavec nemudoma potrditi v pisni obliki.

6.3 Ugovori proti navodilom Obdelovalec podatkov nemudoma obvesti odgovorno osebo, če meni, da navodilo krši GDPR, BDSG ali druge določbe o varstvu podatkov Unije ali držav članic. Obdelovalec podatkov je upravičen, da začasno ustavi izvajanje zadevnega navodila, dokler ga odgovorna oseba ne potrdi ali spremeni. Obdelovalec lahko zavrne navodila, ki so očitno nezakonita.

§ 7 Obveznost varovanja zaupnosti

7.1 Obveznost zaposlenih Obdelovalec potrjuje, da je vse osebe, ki so pooblaščene za obdelavo osebnih podatkov upravljavca (zaposleni, zunanji sodelavci, organi), pred začetkom dela zavezal k zaupnosti (člen 28(3)(b) GDPR) ali da za te osebe velja ustrezna zakonska obveznost molčečnosti. Ta obveznost vključuje tudi tajnost podatkov in velja tudi po prenehanju dejavnosti ali delovnega razmerja.

7.2 Usposabljanje in ozaveščanje Obdelovalec zagotovi, da so osebe, pooblaščene za obdelavo, redno poučene in ozaveščene o določbah varstva podatkov (GDPR, BDSG) in varnosti podatkov. Obdelovalec, ki ga zastopa uprava (Daniel Bosch, Philipp André Marschall), skrbi za podjetniško kulturo, skladno z varstvom podatkov.

7.3 Pooblaščenec za varstvo podatkov Obdelovalec je, če je to zakonsko potrebno v skladu s § 38(1) BDSG ali čl. 37 GDPR (npr. običajno pri najmanj 20 osebah, ki se stalno ukvarjajo z avtomatizirano obdelavo), imenoval strokovnega in zanesljivega pooblaščenca za varstvo podatkov.

Če zakonska obveznost imenovanja ne obstaja, obdelovalec podatkov kljub temu zagotovi, da poslovodstvo v celoti nadzira in upošteva obveznosti v zvezi z varstvom podatkov.

§ 8 Tehnično-organizacijski ukrepi (TOM) v skladu s členom 32 GDPR

8.1 Načelo varnosti obdelave Obdelovalec podatkov zavezujoče izjavlja, da je ob upoštevanju stanja tehnike, stroškov izvedbe ter vrste, obsega, okoliščin in namenov obdelave ter različne verjetnosti in resnosti tveganja za pravice in svoboščine fizičnih oseb sprejel ustrezne tehnične in organizacijske ukrepe (TOM), da se zagotovi raven zaščite, ki je primerna glede na tveganje (člen 32 GDPR). Ti ukrepi temeljijo na priznanih standardih IT-varnosti (kot sta ISO 27001 in SOC 2).

8.2 Konkretni ukrepi Obdelovalec podatkov izvaja zlasti naslednje ukrepe in jih ohranja skozi celotno trajanje pogodbe:

a) Pseudonimiziranje in šifriranje (člen 32(1)(a) GDPR)

• Šifriranje med prenosom: Vsi prenosi podatkov med končnim uporabnikom, upravljavcem in infrastrukturo Biscotti CMP potekajo obvezno prek najsodobnejših šifrirnih protokolov (TLS 1.2 ali TLS 1.3).
• Šifriranje v mirovanju: Vse baze podatkov in nosilci podatkov na platformi Google Cloud (lokacija strežnika NL) so šifrirani na ravni trdega diska (AES-256).
• Pseudonimizacija: Odločitve o privolitvi niso povezane z imeni, ampak z naključno generirano kriptografsko identifikacijsko številko. IP-naslovi so privzeto skrajšani/anonimizirani, takoj ko je dodelitev na podlagi lokacije zaključena.

b) Zaupnost (nadzor dostopa in dostopa)

• Nadzor dostopa: Fizično varnost uporabljenih strežnikov zagotavlja zunanji ponudnik infrastrukturnih storitev (npr. Google Cloud). Podatkovni centri so podvrženi strogim, v panogi običajnim nadzornim in varnostnim kontrolam. Lastni pisarniški prostori podjetja Campcruisers GmbH so zavarovani z ustreznimi fizičnimi omejitvami dostopa (npr. varnostnimi ključavnicami).
• Nadzor dostopa: Dostop do IT-sistemov obdelovalca je zavarovan z restriktivnimi smernicami za gesla, večfaktorsko avtentifikacijo (MFA) za ustrezne administrativne dostope ter časovnimi omejitvami sej. Uporabljajo se sistemi, kot je Cloudflare Turnstile, za zaščito poskusov prijave pred napadi botov.
• Nadzor dostopa: velja načelo dodeljevanja minimalnih pravic (Role-Based Access Control – RBAC). Zaposleni pri obdelovalcu imajo dostop le do podatkov, ki so nujno potrebni za njihovo delo. Podatki strank različnih tarif so logično ločeni drug od drugega (multiklientnost).

c) Celovitost (nadzor prenosa, vnosa in ločevanja)

• Nadzor prenosa: Podatki se ne prenašajo na fizičnih nosilcih podatkov. Prenos poteka izključno prek varnih omrežij.
• Nadzor vnosa: Biscotti CMP razpolaga s celovitim revizijskim dnevnikom (Audit-Log). Kadarkoli je mogoče ugotoviti, kateri uporabnik (stranka, član ekipe, agencija) je v katerem trenutku izvedel katere spremembe v nadzornem panelu (npr. sprememba besedila pasic, prilagoditev kategorij piškotkov).
• Nadzor ločevanja: Podatki, ki so bili zbrani za različne namene, se obdelujejo ločeno. Produkcijska, testna in razvojna okolja so strogo ločena med seboj.

d) Razpoložljivost in odpornost (člen 32(1)(b) in (c) GDPR)

• Razpoložljivost: Obdelovalec podatkov sprejme ustrezne ukrepe, ki so običajni v panogi, za zagotovitev razpoložljivosti sistemov (gostovanje na platformi Google Cloud). Vendar pa se ne zagotavljajo izrecne razpoložljivosti SLA in ni popolne redundance infrastrukture.
• Obremenljivost: Arhitektura sistema je zasnovana tako, da se pričakovani obseg sej praviloma zanesljivo obdeluje. Vendar se ne uporabljajo namenski mehanizmi za uravnavanje obremenitve ali avtomatsko skaliranje (auto-scaling).
• Obnovljivost: Obdelovalec sprejme ustrezne ukrepe (npr. redno varnostno kopiranje podatkovnih baz), da v primeru tehničnega incidenta omogoči obnovo podatkov. Vendar pa ni nobenega jamstva za obnovo brez izgube podatkov, zato se od upravljavca zahteva, da na lastno odgovornost uporabi izvozne funkcije, ki so mu na voljo.

e) Postopki za redno preverjanje (člen 32(1)(d) GDPR)

• Obdelovalec redno notranje preverja učinkovitost sprejetih tehničnih in organizacijskih ukrepov.
• Obstajajo notranji postopki za odzivanje na varnostne incidente (Incident-Response), da se lahko v okviru zakonskih določb odzove na morebitne incidente.
• TOM-i so predmet neprekinjenega procesa izboljševanja.

8.3 Prilagajanje tehničnih in organizacijskih ukrepov Tehnični in organizacijski ukrepi so podvrženi tehnološkemu napredku in nadaljnjemu razvoju. Obdelovalec ima pravico izvajati alternativne ustrezne ukrepe, če raven varnosti ni nižja od ravni določenih ukrepov. O bistvenih spremembah je treba obvestiti upravljavca v pisni obliki.

§ 9 Podizvajalci

9.1 Pooblastitev podizvajalcev Obdelovalec podatkov s tem podeljuje obdelovalcu podatkov splošno pisno pooblastilo (člen 28(2) GDPR) za vključitev dodatnih obdelovalcev podatkov (podizvajalcev). Obdelovalec zagotovi, da podizvajalce skrbno izbere in jih pogodbeno zaveže k istim obveznostim varstva podatkov, kot so določene v tej pogodbi (člen 28(4) GDPR).

9.2 Trenutno odobreni podizvajalci Ob sklenitvi pogodbe za izvajanje storitev Biscotti CMP delujejo naslednji podizvajalci, ki jih je upravljavec odobril. Obdelovalec je zagotovil, da pri ameriških ponudnikih kot pogodbeni partner deluje njihova poslovalnica v EU, da se ohrani raven varstva podatkov EU:

9.3 Prenos v tretje države Če obdelavo izvaja podizvajalec zunaj Evropske unije (EU) ali Evropskega gospodarskega prostora (EGP) (npr. pri Resend), obdelovalec zagotovi, da so izpolnjeni posebni pogoji iz člena 44 in naslednjih členov Splošne uredbe o varstvu podatkov (GDPR). To se običajno izvede s sklenitvijo veljavnih standardnih pogodbenih klavzul (SCC) Evropske komisije v povezavi z oceno vpliva prenosa (Transfer Impact Assessment) in izvedbo dodatnih tehničnih ukrepov (npr. šifriranje).

9.4 Zamenjava ali vključitev novih podizvajalcev Obdelovalec bo upravljavca obvestil o vsaki nameravani spremembi v zvezi z vključitvijo ali zamenjavo podizvajalcev. Obvestilo se posreduje v pisni obliki (npr. po e-pošti na naslov, shranjen v računu) najmanj 30 dni pred načrtovano spremembo. Upravljavec lahko spremembi ugovarja iz pomembnega razloga v zvezi z varstvom podatkov v roku 14 dni od prejema obvestila. Če ni ugovora, se sprememba šteje za odobreno. V primeru utemeljenega ugovora, ki ga obdelovalec podatkov ne more odpraviti z razumnimi ukrepi, je upravljavec upravičen do izredne odpovedi glavne pogodbe z dnem začetka veljavnosti spremembe.

§ 10 Podpora pri uveljavljanju pravic posameznikov

10.1 Dolžnost podpore Obdelovalec podatkov po možnosti podpira upravljavca z ustreznimi tehničnimi in organizacijskimi ukrepi pri izpolnjevanju njegove dolžnosti odgovarjanja na zahteve za uveljavljanje pravic posameznikov, navedenih v poglavju III Splošne uredbe o varstvu podatkov (členi 15 do 22 Splošne uredbe o varstvu podatkov) (člen 28(3)(e) Splošne uredbe o varstvu podatkov).

10.2 Tehnična izvedba v Biscotti CMP Biscotti CMP si prizadeva upravljavcu tehnično pomagati pri izpolnjevanju njegovih obveznosti:

• Pravica do informacij (člen 15 GDPR) in pravica do prenosljivosti podatkov (člen 20 GDPR): Programska oprema ponuja možnosti izvoza podatkov (npr. v obliki CSV), oziroma je mogoče pri podpori v skladu z varstvom podatkov zahtevati izvoz določenih ID-jev soglasij.
• Pravica do preklica (člen 7(3) GDPR): Pasica za soglasje v Biscotti CMP končnim uporabnikom omogoča, da kadar koli pregledajo nastavitve in soglasje prekličejo.
• Pravica do izbrisa (člen 17 GDPR): Zbrane podatke lahko upravljavec izbriše prek funkcij, ki so na voljo v nadzorni plošči, ali pa se izbris dokazljivo zahteva pri podpori.

10.3 Posredovanje zahtevkov Če posameznik uveljavlja svoje pravice neposredno pri obdelovalcu, ta na zahtevek ne bo odgovoril samostojno, temveč bo posameznika nemudoma napotil na upravljavca, če je to na podlagi razpoložljivih podatkov mogoče. Obdelovalec zahtevek nemudoma posreduje upravljavcu.

§ 11 Podpora pri oceni učinka na varstvo podatkov in obveznostih poročanja

11.1 Ocena učinka na varstvo podatkov (člen 35 GDPR) Obdelovalec podatkov ob upoštevanju vrste obdelave in informacij, ki so mu na voljo, pomaga upravljavcu pri izvedbi ocene učinka na varstvo podatkov (DSFA) v skladu s členom 35 GDPR ter pri morebitnem potrebnem predhodnem posvetovanju z nadzornim organom (člen 36 GDPR).

11.2 Prijava kršitev varstva osebnih podatkov Obdelovalec je dolžan upravljavcu nemudoma, najpozneje pa v 48 urah po tem, ko je zanje izvedel, v pisni obliki prijaviti vsako kršitev varstva osebnih podatkov (varnostni incident), ki zadeva podatke, obdelane v okviru naročila.

§ 12 Izbris in vrnitev podatkov

12.1 Izbris po prenehanju pogodbe Po zaključku opravljanja storitev obdelave (prenehanje glavne pogodbe) je obdelovalec po izbiri upravljavca dolžan vse osebne podatke bodisi izbrisati bodisi vrniti, razen če po pravu Unije ali pravu držav članic (npr. obveznosti hrambe po gospodarskem in davčnem pravu v skladu z HGB in AO) obstaja obveznost hrambe osebnih podatkov.

12.2 Standardni postopek Biscotti CMP Če upravljavec ne da drugačnih navodil, velja naslednji standardni postopek: Upravljavec ima možnost, da svoje podatke pred iztekom pogodbe samostojno varnostno kopira prek funkcije izvoza (CSV). Po uveljavitvi odpovedi in izteku obračunskega obdobja se račun upravljavca deaktivira. Osebni podatki, shranjeni na računu, se hranijo za prehodno obdobje 30 dni (obdobje hrambe), da se omogoči obnovitev v primeru nenamernega znižanja paketa. Po izteku teh 30 dni se podatki nepreklicno in v skladu z varstvom podatkov izbrišejo iz operativnih sistemov.

12.3 Potrditev izbrisa Obdelovalec podatkov na izrecno zahtevo upravljavca v pisni obliki potrdi izbris podatkov v skladu z zakonodajo o varstvu podatkov.

§ 13 Pravice do nadzora in revizije

13.1 Pravica do pregleda Obdelovalec podatkov upravljavcu zagotovi vse potrebne informacije, da se dokaže izpolnjevanje obveznosti iz člena 28 GDPR in te pogodbe. Omogoči preglede – vključno z inšpekcijami –, ki jih izvede upravljavec ali njegov pooblaščenec, zavezan k molčečnosti, ter pri tem sodeluje.

13.2 Izvajanje revizij Da ne bi ogrozili varnosti podatkovnih centrov in zaupnosti podatkov drugih strank (ločevanje strank), se stranki dogovorita o naslednjem postopku za revizije:

• Odgovorna oseba bo svojo pravico do nadzora izvajala predvsem z zahtevanjem in ocenjevanjem relevantnih certifikatov (npr. ISO 27001) ali s podrobnimi vprašalniki o IT-varnosti.
• Če te informacije ne zadostujejo, je odgovorna oseba upravičena do izvedbe inšpekcijskega pregleda na kraju samem v poslovnih prostorih družbe Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• Inšpekcije na kraju samem je treba napovedati z ustreznim predhodnim obvestilom (praviloma najmanj 14 dni).

§ 14 Odgovornost in odškodnina

14.1 Zunanji odnos (do posameznikov, na katere se nanašajo osebni podatki) Za nadomestilo škode odgovarjata upravljavec in obdelovalec do posameznika, na katerega se nanašajo osebni podatki, v skladu s členom 82 GDPR. Obdelovalec odgovarja za škodo, ki nastane zaradi obdelave, le če ni izpolnil svojih obveznosti iz GDPR ali je ravnal v nasprotju z zakonito danimi navodili upravljavca.

14.2 Notranji odnos (med strankama) V notranjem odnosu se stranki izvzemata odgovornosti, če ena od strank dokaže, da v nobenem pogledu ni odgovorna za okoliščino, zaradi katere je nastala škoda.

14.3 Omejitev odgovornosti iz glavne pogodbe Dodatno veljajo določbe o odgovornosti iz glavne pogodbe (Splošni pogoji poslovanja). Odgovornost za rahlo malomarnost je izključena, razen če gre za kršitev bistvenih pogodbenih obveznosti (kardinalnih obveznosti). V tem primeru je odgovornost omejena na škodo, ki je tipična za pogodbo in predvidljiva.

§ 15 Zaključne določbe

15.1 Pisna oblika in spremembe Spremembe in dopolnitve te pogodbe morajo biti v pisni obliki (npr. e-pošta). Obdelovalec si pridržuje pravico, da to pogodbo spremeni, da jo prilagodi spremenjenim pravnim razmeram ali tehničnim razvojnim dosežkom. Upravljavec bo o spremembah obveščen po e-pošti.

15.2 Hierarhija Če posamezne določbe te pogodbe o obdelavi podatkov nasprotujejo določbam glavne pogodbe (Splošni pogoji poslovanja), imajo prednost določbe te pogodbe o obdelavi podatkov v zvezi z varstvom in varnostjo podatkov.

15.3 Salvatorska klavzula Če so ali postanejo posamezne določbe te pogodbe neveljavne ali neizvedljive, to ne vpliva na veljavnost preostalih določb. Stranki se zavezujeta, da bosta neveljavno ali neizvedljivo določbo nadomestili z veljavno in izvedljivo določbo.

15.4 Veljavno pravo in pristojno sodišče Ta pogodba je izključno podvržena pravu Zvezne republike Nemčije, z izključitvijo Konvencije ZN o mednarodni prodaji blaga. Izključno pristojno sodišče za vse spore, ki izhajajo iz te pogodbe ali so z njo povezani, je, če to dopušča zakon, sedež obdelovalca podatkov (Falkensee). Pogodbeni jezik je nemški.