Уговор о обради података

Споразум о обради података (DPA) у складу са чланом 28. GDPR-а

Датум: 20. март 2026.

Између

регистровани корисник Biscotti CMP – у даљем тексту "Контролор података" или "Корисник" –

и

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Савезна Република Немачка

Регистарни суд: Општински суд у Потсдаму Број регистрације: HRB 40180 P ПДВ број: DE368000447 Порески број: 29/249/36095 Заступници: Daniel Bosch (извршни директор), Philipp André Marschall (овлашћени потписник) Е-пошта: [email protected] Телефон: +49 3322 50703301 Радно време: пон–пет, 09:00–17:00 – у даљем тексту "Обрађивач података" или "Пружалац услуга" –

– Контролор података и Обрађивач података се у даљем тексту заједнички називају "Странке" –

Увод

Добродошли у Campcruisers GmbH! Са задовољством вас поздрављамо као нашег клијента. Транспарентност, највиши безбедносни стандарди и партнерски приступ на равноправној основи су наши главни приоритети. Заштита ваших података и података посетилаца вашег веб-сајта није само наша законска обавеза, већ и централна обавеза квалитета наше компаније.

Контролор података користи облачно решење софтвера као услуге (SaaS) "Biscotti CMP" (Consent Management Platform), које развија, управља и дистрибуира обрађивач података. У оквиру пружања ових SaaS услуга, које су доступне под доменом biscotti-cmp.com и апликацијом app.biscotti-cmp.com, процесор обрађује личне податке у име и у складу са упутствима контролора. Овим уговором утврђују се обавезе страна у вези са заштитом података које произлазе из коришћења Biscotti CMP. Он се примењује на све активности везане за главни уговор (кориснички уговор за SaaS услуге) у којима запослени обрађивача или трећа лица ангажована од стране обрађивача могу доћи у контакт са личним подацима контролора.

Овај уговор је неопходан за испуњење захтева Уредбе (ЕУ) 2016/679 (Општа уредба о заштити података – GDPR), посебно члан 28. GDPR-а, као и допунске одредбе Савезног закона о заштити података (BDSG) и Закона о заштити података у телекомуникацијама и дигиталним услугама (TDDDG).

[!НАПОМЕНА] Закључивање уговора у електронској трговини Овај уговор се закључује у електронском формату у складу са чланом 28(9) Опште уредбе о заштити података (GDPR). Након регистрације од стране контролора података, он чини саставни део Општих услова пословања (GTC) компаније Biscotti CMP. Уговор се закључује изричитом електронском сагласношћу приликом регистрације (нпр. кликом на дугме за потврду) и не захтева посебан, руком написан потпис да би био важећи и правно обавезујући.

§ 1 Предмет и трајање обраде

1.1 Предмет обраде Обрађивач пружа услуге контролору у области управљања сагласноћу и аутоматизације усаглашености са заштитом података. Предмет обраде личних података утврђен је у главном уговору закљученом између страна у вези са коришћењем Biscotti CMP. Обрада обухвата све операције са подацима неопходне за пружање уговорно договорених функционалности софтвера. Оне укључују, нарочито, али не искључиво:

• Обезбеђивање и приказивање банера за пристанак (банера за колачиће) на веб-сајтовима Контролора.
• Прикупљање, чување, управљање и документовање одлука о сагласности (прихватање/одбијање) крајњих корисника контролора података (посетилаца веб-сајта) у складу са чланом 7(1) Опште уредбе о заштити података (GDPR) и одељком 25(1) TDDDG.
• Извршавање AI-подржаних скенирања колачића на веб-сајтовима контролора ради идентификације и категоризације технологија праћења и упоређивања са базом података провајдера IAB.
• Обрада сигнала у оквиру Google Consent Mode v2, IAB Transparency & Consent Framework (TCF 2.4) и Global Privacy Control (GPC).
• Одређивање јурисдикције посетиоца веб-сајта на основу ИП адресе ради динамичког приказивања варијанти банера у складу са законом (нпр. GDPR, CCPA/CPRA).
• Генерација правних текстова уз помоћ вештачке интелигенције (правна напомена, политика приватности, политика колачића) путем интегрисаног Legal Suite Assistant-а користећи Alibaba Cloud Qwen.
• Обезбеђивање евиденције ревизија, вебхукова за обавештења у реалном времену, функционалности за A/B тестирање и функције извоза података ради испуњавања права субјеката података према члану 15. GDPR-а.
• Управљање подрачунима агенција у оквиру тарифе "Агенција", укључујући управљање клијентима и white-label брендирање.

1.2 Трајање обраде Рок овог Споразума о обради података заснива се на року основног уговора за коришћење Biscotti CMP. Споразум ступа на снагу регистрацијом контролора података и активацијом налога (за бесплатне планове) или потврдом уплате (за плаћене планове као што су Starter, Growth, Business, Agency). Завршава се аутоматски престанком важења главног уговора, без обзира на правни основ (нпр. обичним раскидом, ванредним раскидом или брисањем налога). Рок за обавештење за главни уговор је 1 дан пре краја одговарајућег периода наплате. Одредбе овог уговора које по својој природи треба да остану на снази и након престанка важења (посебно одредбе у вези са брисањем и враћањем података, као и питањима одговорности) остају непромењене престанком важења.

§ 2 Природа и сврха обраде

2.1 Природа обраде Природа обраде обухвата прикупљање, евидентирање, организовање, структурирање, складиштење, прилагођавање или измену, претраживање, консултовање, коришћење, откривање преносом, дистрибуцију или на други начин чинећи доступним, усклађивање или комбиновање, ограничавање, брисање или уништавање података. Обрада се углавном врши аутоматски у облачној инфраструктури процесора података (нпр. хостовано на Hetzner Online GmbH, са серверима који се обично налазе у Европској унији).

2.2 Сврха обраде Сврха обраде лежи искључиво у испуњењу уговорних обавеза које произлазе из главног уговора. Ово укључује:

• Доказ о сагласности: Чување података о сагласности ради испуњења обавеза контролора у погледу одговорности у складу са чланом 5(2) у вези са чланом 7(1) GDPR-а.
• Техничко обезбеђивање: Приказивање банера за пристанак и обезбеђивање функционалности веб-сајта контролора, узимајући у обзир преференције корисника.
• Анализа усаглашености: аутоматска провера веб-сајтова контролора ради откривања ризика по заштиту података (скенер колачића).
• Састављање правних текстова: Обрада података о компанији и контакт информација контролора ради креирања прилагођених правних текстова уз помоћ вештачке интелигенције.
• Наплата и управљање налозима: Управљање корисничким налозима, додељивање ограничења сесија (нпр. 5.000 сесија на бесплатном плану, 500.000 на пословном плану) и обрада преноса сесија.
• Управљање агенцијом: Омогућавање управљања до 25 подналога на Плану за агенције, укључујући обезбеђивање страница за препродаваче и функције слања е-поште.

Обрада података у сврху сопствених потреба обрађивача података, нарочито за сопствене рекламе или за креирање корисничких профила, што прелази оквир уговорног пружања услуга, строго је забрањено, осим ако не постоји изричито законско овлашћење или посебан пристанак.

§ 3 Тип личних података

У оквиру обраде података обрађују се следеће категорије личних података. Контролор одређује тачан обим података кроз коришћење Biscotti CMP и конфигурацију самог софтвера:

• Подаци о сагласности: одлуке (сагласност/одбијање за различите категорије као што су Основне, Функционалне, Аналитика, Маркетинг, Услуге ВИ), временски жигови (датум и тачно време сагласности), јединствени идентификациони број (за псеудонимну доделу одлуке одговарајућем уређају/прегледачу).
• Технички подаци: ИП адресе (обрађују се првенствено ради идентификације надлежности на основу локације и, по правилу, одмах анонимизују/скраћују осим ако контролор не конфигурише другачије), информације о прегледачу, информације о уређају, стрингс корисничког агента, подаци о сесији.
• Подаци о колачићима и тракерима: резултати скенирања веб-сајтова контролора, укључујући пронађене колачиће, садржај локалног складишта, тракере трећих страна и њихову класификацију.
• Садржај генерисан вештачком интелигенцијом: Подаци које контролор уноси у Legal Suite Assistant ради генерисања правних текстова (политика приватности, правно обавештење, услови коришћења). Ово може да укључује податке о компанији, имена овлашћених представника, адресе и специфичне активности обраде, који се обрађују преко Alibaba Cloud Model Studio (Qwen) API-ја.
• Подаци за контакт (корисници налога): име и презиме, адреса електронске поште, назив компаније, поштанска адреса, број телефона, број регистрације ПДВ-а купаца или корисника налога.
• Подаци о коришћењу: активности на контролној табли, статистика банера (прегледи, интеракције, стопе прихватања), извештаји о усаглашености, евиденција ревизије промена на налогу.
• Подаци о плаћању: информације о наплати обрађују се преко пружаоца услуга плаћања Stripe (при чему Stripe директно токенизује податке о кредитним картицама и они се не чувају у обичном тексту код процесора).

§ 4 Категорије субјеката података

Обрада се односи на следеће категорије субјеката података:

• Посетиоци веб-сајта (крајњи корисници): физичка лица која посећују веб-сајтове контролора и за која се одлуке о пристанку траже, обрађују и чувају преко Biscotti CMP банера.
• Клијенти (носиоци налога): физичка лица, самостални предузетници или представници правних лица који су, као уговорни партнери процесора података, регистровали налог у Biscotti CMP.
• Чланови тима и запослени: Појединци које је власник налога (контролор) позвао као додатне кориснике на контролну таблу Biscotti CMP ради управљања системом.
• Клијенти агенција (корисници подрачуна): Крајњи корисници агенција који користе тарифу "Агенција" и за које су креирани подрачуни.

§ 5 Обавезе и права контролора

5.1 Законитост обраде Контролор је искључиво одговоран за процену законитости обраде коју је наручио и за заштиту права субјеката података (члан 4(7) GDPR). Контролор ће обезбедити да постоји важећи правни основ (нпр. пристанак у складу са чланом 6(1)(а) GDPR-а или легитимни интерес у складу са чланом 6(1)(ф) GDPR-а) за обраду личних података од стране процесора. Ово се посебно односи на коришћење Biscotti CMP-а за добијање сагласности у складу са чланом 25(1) TDDDG-а.

5.2 Информационе обавезе Контролор је у потпуности одговоран за обавештавање субјеката података (посебно посетилаца веб-сајта) о обради података на транспарентан, прецизан и благовремен начин у складу са чл. 13. и 14. GDPR-а. У ту сврху, обрађивач ће контролору обезбедити неопходне техничке информације о функционалности Biscotti CMP, као и образце текстова преко Legal Suite Assistant. Правна ревизија и интеграција политике приватности су у надлежности контролора.

5.3 Коришћење агенције и препродавача Ако Контролор користи тарифу "Агенција" и креира подрачуне за своје клијенте, Контролор остаје једини уговорни партнер и контролор података у односу на Обрађивача. Контролор гарантује да има закључене неопходне уговорне споразуме (укључујући и своје уговоре о обради података) са својим крајњим корисницима. Ако контролор подеси сајт препродаваца или користи сопствене е-поштанске сервере под сопственим доменом, он сноси искључиву одговорност по питању заштите података и закона о конкуренцији за ту инфраструктуру. Обрађивач не прихвата никакву одговорност у том погледу.

5.4 Извештавање о грешкама Контролор података мора одмах и у потпуности обавестити обрађивача података ако приликом прегледа резултата обраде открије грешке или неправилности у вези са прописима о заштити података.

§ 6 Право контролора да издаје упутства

6.1 Природа и обим упутстава Обрађивач ће обрађивати личне податке искључиво на основу документованих упутстава контролора, осим ако га на то обавезује право Уније или државе чланице на које се он обавезује (члан 28. став 3. тачка а) GDPR-а). У том случају, обрађивач ће обавестити контролора о овом законском захтеву пре обраде, осим ако одговарајући закон не забрањује такво обавештавање због важног јавног интереса.

Главни уговор и ови Општи услови пословања (GTC) чине почетна документована упутства. Коришћење функција Biscotti CMP-а (нпр. конфигурација банера, покретање скенирања, генерисање текстова) од стране контролора у контролној табли сматраће се документованим појединачним упутствима.

6.2 Облик упутстава Упутства се углавном могу издати преко корисничког интерфејса софтвера (апликације). Сва додатна упутства морају бити достављена у писаној форми (нпр. путем е-поште на [email protected]). Усмена упутства мора контролор без одлагања потврдити у писаној форми.

6.3 Приговори на упутства Обрађивач ће одмах обавестити контролора ако сматра да упутство крши ОУП, БДСГ или друге одредбе о заштити података Уније или држава чланица. Обрађивач има право да обустави спровођење одговарајућег упутства док га контролор не потврди или измени. Обрађивач може одбити извршење упутстава која су очигледно незаконита.

§ 7 Обавеза поверљивости

7.1 Обавеза запослених Обрађивач потврђује да је све особе овлашћене за обраду личних података контролора (запослени, фриленсери, тела) обавезао на поверљивост пре почетка њихових активности (члан 28. став 3. тачка б) GDPR) или да су они подложни одговарајућој законској обавези поверљивости. Ова обавеза такође обухвата тајност података и остаје на снази чак и након престанка активности или радног односа.

7.2 Обука и подизање свести Обрађивач ће обезбедити да су лица овлашћена за обраду података редовно упозната са одредбама о заштити података (GDPR, BDSG) и безбедности података. Обрађивач, у лице управе (Daniel Bosch, Philipp André Marschall), обезбедиће корпоративну културу у складу са прописима о заштити података.

7.3 Официр за заштиту података Када то закон захтева у складу са чланом 38(1) BDSG или чланом 37 GDPR (нпр. када је укупно најмање 20 особа трајно ангажовано на аутоматизованој обради), обрађивач података је именовао компетентног и поузданог официра за заштиту података.

Уколико не постоји законска обавеза за именовање службеника за заштиту података, обрађивач података ипак мора обезбедити да руководство у потпуности надгледа и поштује обавезе у вези са заштитом података.

§ 8 Техничке и организационе мере (ТОМ) у складу са чланом 32. Опште уредбе о заштити података

8.1 Начело безбедности обраде Подаци о обради овим изјављује да је, узимајући у обзир стање технике, трошкове имплементације и природу, обим, околности и сврхе обраде, као и различиту вероватноћу и озбиљност ризика по права и слободе физичких лица, обрађивач података је спровео одговарајуће техничке и организационе мере (ТОМ) како би обезбедио ниво безбедности прикладан ризику (члан 32. GDPR). Ове мере се заснивају на признатим стандардима ИТ безбедности (као што су ISO 27001 и SOC 2).

8.2 Специфичне мере Обрађивач ће, између осталог, спровести следеће мере и одржавати их током целог трајања уговора:

a) Псевдонимизација и шифровање (члан 32. став 1. тачка а) GDPR)

• Шифровање током преноса: Сви преноси података између крајњег корисника, контролора и инфраструктуре Biscotti CMP морају се вршити коришћењем најсавременијих протокола за шифровање (TLS 1.2 или TLS 1.3).
• Шифровање података у мировању: Све базе података и медији за складиштење на Hetzner Online GmbH (локација сервера: НЛ) шифровани су на нивоу чврстог диска (AES-256).
• Псевдонимизација: Одлуке о пристанку нису повезане са стварним именима, већ са случајно генерисаним криптографским идентификационим бројем. IP адресе се по подразумеваном подешавању скраћују/анонимизују чим се заврши мапирање засновано на локацији.

б) Тајност (контрола приступа)

• Контрола приступа: Физичку безбедност коришћених сервера обезбеђује спољни пружалац услуга инфраструктуре (нпр. Google Cloud). Центри података подлежу строгим контролама приступа и безбедности у складу са индустријским стандардима. Власни простори за канцеларије компаније Campcruisers GmbH обезбеђени су одговарајућим ограничењима физичког приступа (нпр. безбедносним бравама).
• Контрола приступа: Приступ ИТ системима обрађивача података обезбеђен је рестриктивним политикама лозинки, вишефакторском аутентификацијом (MFA) за релевантан административни приступ и истеком сесије. Системи као што је Cloudflare Turnstile користе се за заштиту покушаја пријаве од напада ботова.
• Контрола приступа: примењује се принцип најмање привилегије (контрола приступа заснована на улогама – RBAC). Запослени у процесору података имају приступ само подацима који су строго неопходни за њихове задатке. Подаци корисника за различите тарифе логички су одвојени једни од других (мулти-тенантност).

в) Целост (контроле откривања, уноса и раздвајања)

• Контрола откривања: Подаци се не превозе на физичким медијима за складиштење података. Трансмисија се врши искључиво преко заштићених мрежа.
• Контрола уноса: Biscotti CMP има свеобухватан дневник ревизије. У било ком тренутку могуће је пратити који је корисник (клијент, члан тима, агенција) направио које измене на контролној табли и у које време (нпр. измене текстова банера, прилагођавања категорија колачића).
• Контрола раздвајања: Подаци прикупљени за различите сврхе обрађују се одвојено. Продукциона, тестна и развојна окружења су строго изолована једна од других.

d) Доступност и отпорност (члан 32(1)(б) и (в) GDPR)

• Доступност: Обрађивач предузима одговарајуће мере у складу са индустријским стандардима како би обезбедио доступност система (хостинг на Hetzner Online GmbH). Међутим, нивои доступности изричито дефинисани SLA уговором нису загарантовани и не постоји потпуна резервност инфраструктуре.
• Отпорност: Архитектура система је дизајнирана на такав начин да се очекивани обим сесија углавном обрађује поуздано. Међутим, посвећени механизми балансирања оптерећења или аутоматског скалирања (auto-scaling) се не користе.
• Опорављивост: Обрађивач предузима одговарајуће мере (нпр. редовне резервне копије база података) како би омогућио опоравак података у случају техничког инцидента. Међутим, не постоји гаранција опоравка без губитака, због чега је контролор у обавези да користи функције извоза доступне у својој одговорности.

e) Поступци за редовно преиспитивање (члан 32(1)(d) GDPR)

• Обрађивач редовно прегледа ефикасност техничких и организационих мера предузетих унутар организације.
• Постоје унутрашњи процеси реаговања на инциденте ради решавања потенцијалних инцидената у оквиру законског оквира.
• TOM-ови су предмет процеса континуираног унапређења.

8.3 Прилагођавање техничких и организационих мера Техничке и организационе мере подлежу техничком напретку и даљем развоју. Обрађивач има право да спроведе алтернативне адекватне мере, под условом да ниво безбедности није нижи од оног прописаних мера. О значајним променама мора се писано обавестити контролор.

§ 9 Потпроцесори

9.1 Ангажовање подпроцесора Контролор овим даје обрађивачу општу писмену дозволу (члан 28(2) GDPR) да ангажује даље обрађиваче (подпроцесоре). Обрађивач података ће обезбедити да пажљиво бира подпроцесоре и уговорно им намеће исте обавезе заштите података као што су утврђене овим Споразумом (члан 28(4) GDPR).

9.2 Тренутно овлашћени подпроцесори У тренутку закључења овог уговора ангажовани су следећи подпроцесори за пружање услуга Biscotti CMP и сматра се да их је контролор овластио. Обрађивач је обезбедио да, у случају америчких пружалаца услуга, одговарајућа филијала у ЕУ делује као уговорни партнер како би се одржао ниво заштите података ЕУ:

9.3 Пренос у треће земље Када се обрада спроводи путем подпроцесора ван Европске уније (ЕУ) или Европског економског простора (ЕЕП) (нпр. у случају Resend), обрађивач ће обезбедити да су испуњени специфични захтеви члана 44 и наредних чланова Опште уредбе о заштити података (GDPR). Ово се углавном постиже закључивањем важећих Стандардних уговорних клаузула (SCCs) Европске комисије у комбинацији са проценом утицаја преноса и спровођењем додатних техничких мера (нпр. шифровање).

9.4 Промена или ангажовање нових подпроцесора Процесор обавештава контролора о свакој намераваној промени у вези са ангажовањем или заменом подпроцесора. Информација се доставља у писаној форми (нпр. путем електронске поште на адресу записану у налогу) најмање 30 дана пре планиране промене. Контролор може да приговори на промену из убедљивих разлога који се односе на закон о заштити података у року од 14 дана од пријема обавештења. Уколико приговор не буде поднет, промена ће се сматрати одобреном. У случају оправданог приговора који обрађивач не може да реши предузимањем разумних мера, контролор има право да ванредно раскине главни уговор са дејством од дана када промена ступи на снагу.

§ 10 Помоћ у вези са правима субјеката података

10.1 Обавеза пружања подршке Обрађивач ће, где је то могуће, пружати подршку контролору одговарајућим техничким и организационим мерама у испуњењу обавезе контролора да одговори на захтеве за остваривање права субјеката података наведених у Поглављу III Опште уредбе о заштити података (чланови 15–22 Опште уредбе) (члан 28(3)(е) Опште уредбе).

10.2 Техничка имплементација у Biscotti CMP Biscotti CMP има за циљ да пружи техничку подршку контролору у испуњењу његових обавеза:

• Право на приступ (члан 15. GDPR) и право на преносивост података (члан 20. GDPR): Софтвер нуди опције извоза података (нпр. као CSV), или се од службе подршке може затражити извоз одређених ID-ова пристанка на начин у складу са прописима о заштити података.
• Право на повлачење сагласности (члан 7(3) GDPR): Банер за сагласност у Biscotti CMP нуди крајњим корисницима могућност да прегледају своја подешавања и у било ком тренутку повлаче сагласност.
• Право на брисање (члан 17. GDPR): Подаци који су прикупљени могу бити избрисани од стране контролора коришћењем функција доступних на контролној табли или, на основу провереног захтева, могу бити избрисани контактирањем подршке.

10.3 Упућивање захтева Ако субјект података остварује своја права директно према обрађивачу, обрађивач неће самостално одговорити на захтев, већ ће одмах упутити субјекта података контролору, под условом да се субјект података може идентификовати као припадајући контролору на основу расположивих података. Обрађивач ће без одлагања проследити захтев контролору.

§ 11 Подршка при процени утицаја на заштиту података и обавезе извештавања

11.1 Процена утицаја на заштиту података (члан 35. GDPR) Обрађивач ће помагати контролору, узимајући у обзир природу обраде и расположиве информације, у спровођењу процене утицаја на заштиту података (DPIA) у складу са чланом 35. GDPR-а, као и у свим потребним претходним консултацијама са надзорним телом (члан 36. GDPR-а).

11.2 Обавештавање о повреди личних података Обрађивач је обавезан да писмено обавести контролора о сваком повреди личних података (повреди података) која утиче на податке обрађене у име контролора без непотребног одлагања, а у сваком случају у року од 48 сати од сазнања за њу.

§ 12 Брисање и повраћај података

12.1 Брисање по престанку уговора По завршетку пружања услуга обраде (престанак главног уговора), обрађивач је обавезан, по дискреционом нахођењу контролора, да или обрише или врати све личне податке, под условом да не постоји обавеза према праву Уније или праву држава чланица (нпр. обавезе чувања по комерцијалном и пореском законодавству према Немачком трговинском законику (HGB) и Немачком пореском законику (AO)) да чува личне податке.

12.2 Стандардни поступак Biscotti CMP Осим ако контролор података не изда различита упутства, примењује се следећи стандардни поступак: контролор података има могућност да самостално направи резервну копију својих података пре истека уговора користећи функцију извоза (CSV). Када престанак ступи на снагу и истекне обрачунски период, налог контролора података биће деактивиран. Лични подаци чувани на налогу задржавају се у прелазном периоду од 30 дана (рок чувања) како би се омогућило враћање у случају случајног деградирања. По истеку тих 30 дана, подаци се неповратно и у складу са прописима о заштити података бришу из продукционих система.

12.3 Потврда брисања На изричито захтевање контролора, обрађивач ће писмено потврдити контролору да су подаци избрисани у складу са прописима о заштити података.

§ 13 Права на увид и ревизију

13.1 Право на ревизију Обрађивач ће контролору обезбедити све неопходне информације како би се показало усаглашавање са обавезама прописаним чланом 28. GDPR-а и овим уговором. Он ће омогућити и сарађивати у ревизијама – укључујући инспекције – које спроводе контролор или ревизор именован од стране контролора, који је обавезан на тајност.

13.2 Провођење ревизија Да би се избегло угрожавање безбедности центара података и поверљивости података других клијената (сегрегација клијената), стране се слажу на следећу процедуру за ревизије:

• Контролор података ће у првом реду остварити своје право на инспекцију тражећи и оцењивањем релевантних сертификата (нпр. ISO 27001) или путем детаљних упитника о ИТ безбедности.
• Уколико се испостави да су ове информације недовољне, Контролор података има право да спроведе инспекцију на лицу места у пословним просторијама компаније Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• Инспекције на лицу места морају бити најављене у разумном року (обично најмање 14 дана).

§ 14 Одговорност и накнада штете

14.1 Спољна одговорност (према субјектима података) Контролор и обрађивач одговарају субјекту података за накнаду штете у складу са чланом 82. GDPR-а. Обрађивач одговара за штету насталу обрадом само ако није испунио своје обавезе према GDPR-у или је поступио супротно законитим упутствима контролора.

14.2 Унутрашњи однос (између страна) У свом унутрашњем односу, стране су ослобођене одговорности ако једна страна докаже да ни на који начин није одговорна за околност која је изазвала штету.

14.3 Ограничење одговорности по главном уговору Поред тога, примењују се одредбе о одговорности из главног уговора (Општих услова пословања). Одговорност за лаку непажњу је искључена, осим ако се не ради о кршењу суштинских уговорних обавеза (кардиналних обавеза). У том случају, одговорност је ограничена на предвидиву штету типичну за тај уговор.

§ 15 Завршне одредбе

15.1 Писмени облик и измене Измене и допуне овог уговора морају бити у писаном облику (нпр. путем електронске поште). Обрађивач података задржава право да измени овај уговор како би га прилагодио променама у правној ситуацији или техничком развоју. Контролор података ће бити обавештен о свим изменама путем електронске поште.

15.2 Редослед првенства Уколико поједине одредбе овог Споразума о обради података буду у сукобу са одредбама главног уговора (Општих услова пословања), одредбе овог Споразума о обради података имају првенство у погледу заштите података и безбедности података.

15.3 Клаузула о одвојивости Уколико било која појединачна одредба овог споразума буде или постане неважећа или неизвршива, то неће утицати на важећност преосталих одредби. Странке се обавезују да замене неважећу или неизвршиву одредбу важећом и извршивом одредбом.

15.4 Применљиво право и надлежност Овим Уговором ће се искључиво регулисати по законима Савезне Републике Немачке, уз искључење Конвенције УН о уговорима о међународној продаји робе. Искључиво место надлежности за све спорове који произлазе из или су у вези са овим Уговором биће, у мери у којој то закон дозвољава, регистровани седиште Обрађивача података (Фалкензее). Језик Уговора је немачки.