Personuppgiftsbiträdesavtal

Avtal om uppdragshantering (AVV) enligt artikel 28 i GDPR

Status: 2026-03-20

Mellan

den registrerade kunden hos Biscotti CMP – nedan kallad ”den personuppgiftsansvarige” eller ”kunden” –

och

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Förbundsrepubliken Tyskland

Registreringsdomstol: Amtsgericht Potsdam Registreringsnummer: HRB 40180 P Momsregistreringsnummer: DE368000447 Skatteregistreringsnummer: 29/249/36095 Företrädare: Daniel Bosch (VD), Philipp André Marschall (prokurist) E-post: [email protected] Telefon: +49 3322 50703301 Öppettider: må–fre, kl. 09:00–17:00 – nedan kallad ”uppdragstagare” eller ”leverantör” –

– den personuppgiftsansvarige och uppdragstagaren kallas hädanefter gemensamt även ”parterna” –

Inledning

Välkommen till Campcruisers GmbH! Vi är mycket glada över att få välkomna dig som kund. Transparens, högsta säkerhetsstandarder och ett partnerskap på lika villkor står i första rummet för oss. Skyddet av dina uppgifter och uppgifterna för dina webbplatsbesökare är för oss inte bara en lagstadgad skyldighet, utan ett centralt kvalitetslöfte från vårt företag.

Den personuppgiftsansvarige använder den molnbaserade Software-as-a-Service-lösningen (SaaS) ”Biscotti CMP” (Consent Management Platform) som utvecklats, drivs och marknadsförs av personuppgiftsbiträdet. Inom ramen för tillhandahållandet av dessa SaaS-tjänster, som tillhandahålls under domänen biscotti-cmp.com samt applikationen app.biscotti-cmp.com, behandlar uppdragstagaren personuppgifter på uppdrag av och enligt anvisningar från den registeransvarige. Detta avtal konkretiserar parternas skyldigheter enligt dataskyddslagstiftningen som följer av användningen av Biscotti CMP. Det gäller alla aktiviteter som är kopplade till huvudavtalet (användaravtalet för SaaS-tjänsterna) och där den personuppgiftsbehandlares anställda eller tredje parter som anlitas av denne kan komma i kontakt med den personuppgiftsansvariges personuppgifter.

Detta avtal är absolut nödvändigt för att uppfylla kraven i förordning (EU) 2016/679 (personuppgiftsförordningen – GDPR), särskilt artikel 28 i GDPR, samt de kompletterande bestämmelserna i den tyska federala dataskyddslagen (BDSG) och lagen om dataskydd för telekommunikation och digitala tjänster (TDDDG).

[!NOTE] Avtalsingående i elektronisk handel Detta avtal ingås i elektroniskt format i enlighet med artikel 28.9 i GDPR. Vid anmälan/registrering hos den personuppgiftsansvarige utgör det en integrerad del av Biscotti CMP:s allmänna villkor (AGB). Avtalet ingås genom uttryckligt elektroniskt samtycke i samband med registreringen (t.ex. genom att klicka på en bekräftelseknapp) och kräver ingen separat, handskriven underskrift för att vara giltigt och rättsligt bindande.

§ 1 Ämne och varaktighet för behandlingen

1.1 Syfte med behandlingen Behandlaren tillhandahåller tjänster åt den personuppgiftsansvarige inom området samtyckeshantering (Consent Management) och automatisering av efterlevnaden av dataskyddslagstiftningen. Syftet med behandlingen av personuppgifter framgår av det huvudavtal som ingåtts mellan parterna om användningen av Biscotti CMP. Behandlingen omfattar alla datarelaterade processer som är nödvändiga för att tillhandahålla de avtalsenliga programvarufunktionerna. Detta inkluderar särskilt, men inte uttömmande:

• Tillhandahållande och leverans av samtyckesbanners (cookiebanners) på den registeransvariges webbplatser.
• Registrering, lagring, hantering och dokumentation av samtyckesbeslut (samtycke/avslag) från den registeransvariges slutanvändare (webbplatsbesökare) i enlighet med artikel 7.1 i GDPR och § 25.1 i TDDDG.
• Genomförande av AI-stödda cookieskanningar på den ansvariges webbplatser för identifiering och kategorisering av spårningstekniker och jämförelse av dessa med IAB:s leverantörsdatabas.
• Behandling av signaler inom ramen för Google Consent Mode v2, IAB Transparency & Consent Framework (TCF 2.4) samt Global Privacy Control (GPC).
• IP-baserad fastställande av webbplatsbesökarens jurisdiktion för dynamisk visning av lagkonforma bannervarianter (t.ex. GDPR, CCPA/CPRA).
• AI-stödd generering av juridiska texter (impressum, integritetspolicy, cookiepolicy) via den integrerade Legal Suite-assistenten med hjälp av Alibaba Cloud Qwen.
• Tillhandahållande av granskningsloggar (audit logs), webhooks för realtidsaviseringar, A/B-testfunktioner samt dataexportfunktioner för att uppfylla de registrerades rättigheter enligt artikel 15 i GDPR.
• Hantering av byråns underkonton inom ramen för ”Agency”-avtalet, inklusive klienthantering och white label-branding.

1.2 Behandlingens varaktighet Giltighetstiden för detta uppdrag om personuppgiftsbehandling följer giltighetstiden för det underliggande huvudavtalet om användning av Biscotti CMP. Avtalet träder i kraft vid registrering av den personuppgiftsansvarige och aktivering av kontot (för kostnadsfria abonnemang) eller vid bekräftelse av betalning (för avgiftsbelagda abonnemang som Starter, Growth, Business, Agency). Det upphör automatiskt vid uppsägning av huvudavtalet, oavsett rättslig grund (t.ex. genom ordinarie uppsägning, extraordinär uppsägning eller radering av kontot). Uppsägningstiden för huvudavtalet är 1 dag före utgången av respektive faktureringsperiod. Bestämmelser i detta avtal som till sin natur ska gälla även efter uppsägningen (i synnerhet bestämmelser om radering och återlämnande av data samt ansvarsfrågor) påverkas inte av uppsägningen.

§ 2 Typ och syfte med behandlingen

2.1 Typ av behandling Typen av behandling omfattar insamling, registrering, organisering, ordning, lagring, anpassning eller ändring, utläsning, sökning, användning, utlämnande genom överföring, spridning eller annan form av tillhandahållande, jämförelse eller sammanställning, begränsning, radering eller förstöring av data. Behandlingen sker i första hand automatiserat i uppdragstagarens molninfrastruktur (t.ex. hostad på Hetzner Online GmbH, serverplats vanligtvis Europeiska unionen).

2.2 Syftet med behandlingen Syftet med behandlingen är uteslutande att fullgöra de avtalsenliga skyldigheterna enligt huvudavtalet. Detta innefattar:

• Bevisbarhet av samtycke: Lagring av samtyckesdata för att uppfylla den registeransvariges redovisningsskyldighet enligt artikel 5.2 i kombination med artikel 7.1 i GDPR.
• Teknisk tillhandahållande: Visning av samtyckesbannern och säkerställande av funktionaliteten på den registeransvariges webbplats med hänsyn till användarnas preferenser.
• Compliance-analys: Automatiserad kontroll av den registeransvariges webbplatser med avseende på dataskyddsrisker (cookiescanner).
• Upprättande av juridiska texter: Behandling av den registeransvariges företags- och kontaktuppgifter för AI-stött upprättande av skräddarsydda juridiska texter.
• Fakturering och kontohantering: Hantering av användarkonton, tilldelning av sessionsgränser (t.ex. 5 000 sessioner i gratispaketet, 500 000 i Business-paketet) och hantering av sessionsöverföringar.
• Agenturhantering: Möjliggörande av hantering av upp till 25 underkonton i Agency-abonnemanget, inklusive tillhandahållande av återförsäljarsidor och e-postutskicksfunktioner.

Behandling av uppgifterna för uppdragstagarens egna ändamål, i synnerhet för egna reklamändamål eller för att skapa användarprofiler som går utöver den avtalsenliga tjänsteleveransen, är strängt förbjuden, såvida inte ett uttryckligt lagligt tillstånd eller ett separat samtycke föreligger.

§ 3 Typ av personuppgifter

Inom ramen för uppdragsbehandlingen behandlas följande kategorier av personuppgifter. Den personuppgiftsansvarige fastställer själv den exakta omfattningen av uppgifterna genom sin användning av Biscotti CMP och konfigurationen av programvaran:

• Samtyckesuppgifter: Beslut (samtycke/avslag för olika kategorier såsom väsentliga, funktionella, analys, marknadsföring, AI-tjänster), tidsstämpel (datum och exakt tidpunkt för samtycket), unikt identifikationsnummer (för pseudonym tilldelning av beslutet till respektive enhet/webbläsare).
• Tekniska uppgifter: IP-adresser (behandlas främst för platsbaserad identifiering av jurisdiktion och anonymiseras/trunkeras i regel omedelbart, såvida inte den ansvarige har gjort någon avvikande konfiguration), webbläsarinformation, enhetsinformation, user-agent-strängar, sessionsdata.
• Cookie- och spårningsdata: Skanningsresultat från den ansvariges webbplatser, inklusive hittade cookies, lokalt lagrat innehåll, spårare från tredje part och deras klassificering.
• AI-genererat innehåll: Data som den ansvarige matar in i Legal Suite-assistenten för att generera juridiska texter (integritetspolicy, impressum, allmänna villkor). Detta kan omfatta företagsdata, namn på behöriga företrädare, adresser och specifika behandlingsaktiviteter som behandlas via Alibaba Cloud Model Studio (Qwen) API.
• Kontaktuppgifter (kontoinnehavare): För- och efternamn, e-postadress, företagsnamn, adress, telefonnummer, momsregistreringsnummer (moms-id) för kunder respektive kontoinnehavare.
• Användningsdata: Dashboard-aktiviteter, bannerstatistik (visningar, interaktioner, acceptansgrader), efterlevnadsrapporter, granskningsloggar om kontoändringar.
• Betalningsuppgifter: Faktureringsinformation som behandlas via betaltjänstleverantören Stripe (där kreditkortsuppgifter tokeniseras direkt hos Stripe och inte lagras i klartext hos personuppgiftsbiträdet).

§ 4 Kategorier av registrerade

Behandlingen avser följande kategorier av registrerade:

• Webbplatsbesökare (slutanvändare): Fysiska personer som besöker den registeransvariges webbplatser och vars samtyckesbeslut via Biscotti CMP-bannern efterfrågas, behandlas och lagras.
• Kunder (kontoinnehavare): Fysiska personer, enskilda företagare eller företrädare för juridiska personer som har registrerat ett konto hos Biscotti CMP som avtalspartner till personuppgiftsbiträdet.
• Teammedlemmar och anställda: Personer som har bjudits in av kontoinnehavaren (den registeransvarige) som ytterligare användare till Biscotti CMP-instrumentpanelen för att administrera systemet.
• Agenturkunder (underkontoinnehavare): Slutkunder hos agenturer som använder ”Agency”-tariffen och för vilka underkonton har skapats.

§ 5 Den registeransvariges skyldigheter och rättigheter

5.1 Behandlingens laglighet Den registeransvarige är ensam ansvarig för att bedöma om den uppdragna behandlingen är tillåten samt för att tillvarata de registrerades rättigheter (art. 4 nr 7 i GDPR). Den registeransvarige säkerställer att det finns en giltig rättslig grund (t.ex. samtycke enligt artikel 6.1 a i GDPR eller berättigat intresse enligt artikel 6.1 f i GDPR) för den personuppgiftsansvariges behandling av personuppgifter. Detta gäller särskilt användningen av Biscotti CMP för inhämtning av samtycke enligt § 25.1 TDDDG.

5.2 Informationsskyldigheter Den personuppgiftsansvarige är fullt ansvarig för att informera de registrerade (särskilt webbplatsbesökarna) om databehandlingen på ett transparent, precist och i god tid enligt artiklarna 13 och 14 i GDPR. Den personuppgiftsansvarige tillhandahåller den personuppgiftsansvarige den nödvändiga tekniska informationen om hur Biscotti CMP fungerar samt malltexter via Legal Suite-assistenten. Den personuppgiftsansvarige ansvarar för den juridiska granskningen och integreringen av integritetspolicyn.

5.3 Användning av byråer och återförsäljare Om den personuppgiftsansvarige använder ”Agency”-avgiften och skapar underkonton för sina egna kunder, förblir den personuppgiftsansvarige den enda avtalsparten i förhållande till personuppgiftsbiträdet och den personuppgiftsansvarige enligt dataskyddslagstiftningen. Den registeransvarige garanterar att han har de nödvändiga avtalsmässiga överenskommelserna (inklusive egna avtal om uppdragshantering) med sina slutkunder. Om den registeransvarige inrättar en återförsäljarsida eller använder egna e-postservrar under egen domän, bär han det enda ansvaret enligt dataskyddslagstiftningen och konkurrenslagstiftningen för denna infrastruktur. Uppdragshanteraren tar inget ansvar för detta.

5.4 Rapportering av fel Den registeransvarige ska omedelbart och fullständigt informera uppdragstagaren om han vid granskningen av uppdragets resultat upptäcker fel eller oegentligheter avseende dataskyddsbestämmelserna.

§ 6 Den registeransvariges rätt att ge instruktioner

6.1 Typ och omfattning av instruktionerna Personuppgiftsbiträdet behandlar personuppgifter uteslutande på dokumenterad instruktion från den personuppgiftsansvarige, såvida han inte är skyldig att göra detta enligt unionsrätten eller medlemsstaternas lagstiftning som han omfattas av (artikel 28.3 a i GDPR). I ett sådant fall ska den personuppgiftsbehandlande underrätta den personuppgiftsansvarige om detta rättsliga krav före behandlingen, såvida inte den berörda lagstiftningen förbjuder en sådan underrättelse på grund av ett viktigt allmänintresse.

Huvudavtalet samt dessa AVV utgör den initiala dokumenterade instruktionen. Den registeransvariges användning av funktionerna i Biscotti CMP (t.ex. konfiguration av bannern, start av en skanning, generering av texter) i instrumentpanelen anses utgöra en dokumenterad enskild instruktion.

6.2 Instrueringarnas form Instrueringar kan i regel ges via programvarans (applikationens) användargränssnitt. Instrueringar utöver detta ska ges i skriftlig form (t.ex. via e-post till [email protected]). Muntliga instrueringar ska omedelbart bekräftas skriftligen av den registeransvarige.

6.3 Invändningar mot instruktioner Behandlaren ska omedelbart informera den ansvarige om han anser att en instruktion strider mot GDPR, BDSG eller andra dataskyddsbestämmelser i unionen eller medlemsstaterna. Behandlaren har rätt att uppskjuta genomförandet av den aktuella instruktionen tills den bekräftas eller ändras av den ansvarige. Uppdragstagaren får vägra att följa instruktioner som uppenbart är olagliga.

§ 7 Sekretessplikt

7.1 Anställdas skyldighet Den personuppgiftsbehandlande bekräftar att han har ålagt alla personer som är behöriga att behandla den personuppgiftsansvariges personuppgifter (anställda, frilansare, organ) tystnadsplikt innan de påbörjar sin verksamhet (art. 28.3 b GDPR) eller att dessa omfattas av en lämplig lagstadgad tystnadsplikt. Denna skyldighet omfattar även dataintegritet och kvarstår även efter att verksamheten eller anställningsförhållandet har upphört.

7.2 Utbildning och medvetenhetshöjande åtgärder Den personuppgiftsbehandlande säkerställer att de personer som är behöriga att behandla personuppgifter regelbundet får utbildning och medvetenhetshöjande åtgärder avseende bestämmelserna om dataskydd (GDPR, BDSG) och datasäkerhet. Den personuppgiftsbehandlande, företrädd av ledningen (Daniel Bosch, Philipp André Marschall), ansvarar för en företagskultur som är förenlig med dataskyddsbestämmelserna.

7.3 Dataskyddsombud Den personuppgiftsbehandlande har, i den mån det krävs enligt lag enligt § 38 stycke 1 BDSG eller art. 37 GDPR (t.ex. vid i regel minst 20 personer som ständigt sysslar med automatiserad behandling), utsett ett sakkunnigt och pålitligt dataskyddsombud.

Om det inte finns någon lagstadgad skyldighet att utse en sådan, säkerställer uppdragstagaren ändå att skyldigheterna enligt dataskyddslagstiftningen övervakas och efterlevs fullt ut av ledningen.

§ 8 Tekniska och organisatoriska åtgärder (TOM) enligt artikel 32 i GDPR

8.1 Principen om säker behandling Behandlaren förbinder sig att, med hänsyn till den tekniska utvecklingen, implementeringskostnaderna samt arten, omfattningen, omständigheterna och syftena med behandlingen samt den varierande sannolikheten för och allvarlighetsgraden av risken för fysiska personers rättigheter och friheter, har vidtagit lämpliga tekniska och organisatoriska åtgärder (TOM) för att säkerställa en skyddsnivå som står i proportion till risken (art. 32 i GDPR). Dessa åtgärder baseras på erkända IT-säkerhetsstandarder (såsom ISO 27001 och SOC 2).

8.2 Konkreta åtgärder Behandlaren ska särskilt genomföra följande åtgärder och upprätthålla dessa under hela avtalets giltighetstid:

a) Pseudonymisering och kryptering (art. 32.1 a GDPR)

• Kryptering vid överföring: All dataöverföring mellan slutanvändaren, den personuppgiftsansvarige och Biscotti CMP-infrastrukturen sker obligatoriskt via de modernaste krypteringsprotokollen (TLS 1.2 eller TLS 1.3).
• Kryptering i viloläge: Alla databaser och lagringsmedier på Hetzner Online GmbH (serverplats NL) är krypterade på hårddisknivå (AES-256).
• Pseudonymisering: Samtyckesbeslut kopplas inte till riktiga namn utan till ett slumpmässigt genererat, kryptografiskt identifikationsnummer. IP-adresser förkortas/anonymiseras som standard så snart den platsbaserade tilldelningen är klar.

b) Sekretess (åtkomst- och tillträdeskontroll)

• Tillträdeskontroll: Den fysiska säkerheten för de använda servrarna garanteras av den externa infrastrukturleverantören (t.ex. Google Cloud). Datacentren omfattas av strikta branschstandardiserade tillträdes- och säkerhetskontroller. Campcruisers GmbH:s egna kontorslokaler är säkrade genom lämpliga fysiska tillträdesbegränsningar (t.ex. säkerhetslås).
• Åtkomstkontroll: Åtkomsten till den personuppgiftsbiträdandes IT-system skyddas genom restriktiva lösenordsriktlinjer, multifaktorautentisering (MFA) för relevanta administrativa åtkomster samt sessionstimeouts. System som Cloudflare Turnstile används för att skydda inloggningsförsök mot botattacker.
• Åtkomstkontroll: Principen om minimal behörighetstilldelning (Role-Based Access Control – RBAC) gäller. Personuppgiftsbiträdets anställda har endast åtkomst till de uppgifter som är absolut nödvändiga för deras respektive uppgifter. Kunduppgifterna för de olika prisplanerna är logiskt åtskilda från varandra (klientkapacitet).

c) Integritet (kontroll av vidarebefordran, inmatning och separering)

• Överföringskontroll: Data transporteras inte på fysiska datamedier. Överföringen sker uteslutande via säkra nätverk.
• Inmatningskontroll: Biscotti CMP har ett omfattande granskningsprotokoll (auditlogg). Det går att spåra när som helst vilken användare (kund, teammedlem, byrå) som vid vilken tidpunkt har gjort vilka ändringar i instrumentpanelen (t.ex. ändring av bannertexter, anpassning av cookie-kategorier).
• Separationskontroll: Data som samlats in för olika ändamål behandlas separat. Produktions-, test- och utvecklingsmiljöer är strikt isolerade från varandra.

d) Tillgänglighet och belastningskapacitet (art. 32.1 b och c i GDPR)

• Tillgänglighet: Personuppgiftsbiträdet vidtar branschmässiga, rimliga åtgärder för att säkerställa systemens tillgänglighet (hosting på Hetzner Online GmbH). Det garanteras dock inga uttryckliga SLA-tillgängligheter och det finns ingen fullständig redundans i infrastrukturen.
• Belastningskapacitet: Systemarkitekturen är utformad så att de förväntade sessionsvolymerna i regel kan hanteras på ett tillförlitligt sätt. Däremot används inte någon dedikerad lastbalansering eller automatiska skalningsmekanismer (autoskalning).
• Återställbarhet: Personuppgiftsbiträdet vidtar lämpliga åtgärder (t.ex. regelbundna säkerhetskopieringar av databaserna) för att möjliggöra återställning av data vid en teknisk incident. Det finns dock ingen garanti för förlustfri återställning, varför den personuppgiftsansvarige uppmanas att på eget ansvar använda de exportfunktioner som står till hans förfogande.

e) Förfaranden för regelbunden granskning (art. 32.1 d GDPR)

• Personuppgiftsbiträdet granskar regelbundet internt effektiviteten hos de tekniska och organisatoriska åtgärder som vidtagits.
• Det finns interna processer för hantering av säkerhetsincidenter (incidenthantering) för att kunna hantera potentiella incidenter inom den rättsliga ramen.
• TOM:erna omfattas av en kontinuerlig förbättringsprocess.

8.3 Anpassning av de tekniska och organisatoriska åtgärderna De tekniska och organisatoriska åtgärderna är föremål för teknisk utveckling och vidareutveckling. Behandlingsutföraren har rätt att genomföra alternativa adekvata åtgärder, förutsatt att säkerhetsnivån inte understiger den som fastställts för de angivna åtgärderna. Väsentliga ändringar ska meddelas den personuppgiftsansvarige skriftligen.

§ 9 Underleverantörer

9.1 Anlita underleverantörer Den personuppgiftsansvarige ger härmed den personuppgiftsbehandlaren ett allmänt skriftligt tillstånd (art. 28.2 i GDPR) att anlita ytterligare personuppgiftsbehandlare (underleverantörer). Personuppgiftsbehandlaren säkerställer att denne noggrant väljer ut underleverantörer och att dessa genom avtal åläggs samma skyldigheter avseende dataskydd som fastställs i detta avtal (art. 28.4 i GDPR).

9.2 För närvarande godkända underleverantörer Vid avtalets ingående är följande underleverantörer verksamma för tillhandahållandet av Biscotti CMP-tjänsterna och anses vara godkända av den personuppgiftsansvarige. Den personuppgiftsbehandlande har säkerställt att det är respektive EU-filial som fungerar som avtalspartner för amerikanska leverantörer, för att upprätthålla EU:s dataskyddsnivå:

9.3 Överföring till tredjeländer Om behandling sker genom underleverantörer utanför Europeiska unionen (EU) eller Europeiska ekonomiska samarbetsområdet (EES) (t.ex. hos Resend), säkerställer personuppgiftsbiträdet att de särskilda kraven i artikel 44 ff. i GDPR är uppfyllda. Detta sker vanligtvis genom ingående av EU-kommissionens aktuella standardavtalsklausuler (SCC) i kombination med en konsekvensbedömning av överföringen (Transfer Impact Assessment) och implementering av ytterligare tekniska åtgärder (t.ex. kryptering).

9.4 Byte eller tilldragande av nya underuppdragstagare Uppdragstagaren ska informera den registeransvarige om varje avsedd ändring avseende tilldragande eller ersättning av underuppdragstagare. Informationen ska lämnas i skriftlig form (t.ex. via e-post till den adress som finns angiven i kontot) minst 30 dagar före den planerade ändringen. Den personuppgiftsansvarige kan invända mot ändringen av viktiga skäl som rör dataskyddslagstiftningen inom 14 dagar efter mottagandet av meddelandet. Om ingen invändning görs anses ändringen vara godkänd. I händelse av ett berättigat invändning som personuppgiftsbiträdet inte kan undanröja genom rimliga åtgärder har den personuppgiftsansvarige rätt att säga upp huvudavtalet i förtid vid tidpunkten för ändringens ikraftträdande.

§ 10 Stöd vid registrerades rättigheter

10.1 Stödplikt Den personuppgiftsbehandlande ska i möjligaste mån stödja den personuppgiftsansvarige med lämpliga tekniska och organisatoriska åtgärder för att fullgöra dennes skyldighet att besvara begäranden om utövande av de rättigheter som anges i kapitel III i GDPR (art. 15–22 GDPR) (art. 28.3 e GDPR).

10.2 Teknisk implementering i Biscotti CMP Biscotti CMP syftar till att ge den personuppgiftsansvarige tekniskt stöd i fullgörandet av sina skyldigheter:

• Rätt till information (art. 15 GDPR) & rätt till dataportabilitet (art. 20 GDPR): Programvaran erbjuder möjligheter till dataexport (t.ex. som CSV), respektive kan export av specifika samtyckes-ID begäras från supporten på ett sätt som är förenligt med dataskyddslagstiftningen.
• Rätt till återkallande (art. 7.3 GDPR): Samtyckesbannern i Biscotti CMP erbjuder slutanvändarna möjligheten att visa gjorda inställningar och återkalla dem när som helst.
• Rätt till radering (art. 17 i GDPR): Insamlade uppgifter kan raderas av den personuppgiftsansvarige via funktioner som finns tillgängliga i instrumentpanelen eller på ett verifierbart sätt begäras raderade hos supporten.

10.3 Vidarebefordran av förfrågningar Om en berörd person gör gällande sina rättigheter direkt gentemot personuppgiftsbiträdet, kommer detta inte att besvara förfrågan på egen hand, utan omedelbart hänvisa den berörda personen till den personuppgiftsansvarige, förutsatt att en hänvisning till den personuppgiftsansvarige är möjlig på grundval av tillgängliga uppgifter. Personuppgiftsbiträdet vidarebefordrar omedelbart förfrågan till den personuppgiftsansvarige.

§ 11 Stöd vid konsekvensbedömning avseende dataskydd och anmälningsskyldigheter

11.1 Konsekvensbedömning avseende dataskydd (art. 35 i GDPR) Personuppgiftsbiträdet stödjer den personuppgiftsansvarige, med beaktande av typen av behandling och den information som står till dess förfogande, vid genomförandet av en konsekvensbedömning avseende dataskydd (DSFA) enligt artikel 35 i GDPR samt vid en eventuellt nödvändig förhandsrådgivning med tillsynsmyndigheten (artikel 36 i GDPR).

11.2 Anmälan av personuppgiftsincidenter Behandlaren är skyldig att omedelbart, dock senast inom 48 timmar efter att ha fått kännedom om det, skriftligen anmäla varje personuppgiftsincident som rör de uppgifter som behandlas på uppdrag till den personuppgiftsansvarige.

§ 12 Radering och återlämnande av uppgifter

12.1 Radering efter avtalets upphörande Efter att behandlingen har avslutats (huvudavtalets upphörande) är uppdragstagaren skyldig att, efter den registeransvariges val, antingen radera eller återlämna alla personuppgifter, såvida det inte föreligger en skyldighet att lagra personuppgifterna enligt unionsrätten eller medlemsstaternas lagstiftning (t.ex. handels- och skatterättsliga bevaringsskyldigheter enligt HGB och AO).

12.2 Standardprocess för Biscotti CMP Om den registeransvarige inte ger några avvikande instruktioner gäller följande standardprocess: Den registeransvarige har möjlighet att själv säkerhetskopiera sina uppgifter före avtalets upphörande via exportfunktionen (CSV). Efter det att uppsägningen trätt i kraft och faktureringsperioden löpt ut inaktiveras den registeransvariges konto. De personuppgifter som lagras i kontot sparas under en övergångsperiod på 30 dagar (lagringstid) för att möjliggöra återställning vid en oavsiktlig nedgradering. Efter utgången av dessa 30 dagar raderas uppgifterna oåterkalleligt och i enlighet med dataskyddsbestämmelserna från de produktiva systemen.

12.3 Bekräftelse av radering På den registeransvariges uttryckliga begäran bekräftar personuppgiftsbiträdet skriftligen att uppgifterna har raderats i enlighet med dataskyddsbestämmelserna.

§ 13 Kontrollrättigheter och revisioner

13.1 Rätt till granskning Den personuppgiftsbehandlande ska tillhandahålla den personuppgiftsansvarige all nödvändig information för att kunna styrka att de skyldigheter som fastställs i artikel 28 i GDPR och i detta avtal efterlevs. Den personuppgiftsbehandlande ska möjliggöra granskningar – inklusive inspektioner – som utförs av den personuppgiftsansvarige eller en av denne utsedd granskare som är bunden av tystnadsplikt, och ska medverka till dessa.

13.2 Genomförande av revisioner För att inte äventyra säkerheten i datacentren och sekretessen för andra kunders data (kundseparering) kommer parterna överens om följande förfarande för revisioner:

• Den ansvarige ska utöva sin kontrollrätt i första hand genom att begära och utvärdera relevanta certifikat (t.ex. ISO 27001) eller genom detaljerade frågeformulär om IT-säkerhet.
• Om denna information inte är tillräcklig har den ansvarige rätt att genomföra en inspektion på plats i Campcruisers GmbH:s lokaler (Berliner Str. 21 B, 14612 Falkensee).
• Inspektioner på plats ska meddelas med rimlig förvarning (i regel minst 14 dagar).

§ 14 Ansvar och skadestånd

14.1 Förhållande gentemot tredje man (gentemot berörda personer) Den registeransvarige och personuppgiftsbiträdet är ansvariga för ersättning av skador gentemot den berörda personen i enlighet med artikel 82 i GDPR. Personuppgiftsbiträdet är ansvarigt för skador som uppstår till följd av en behandling endast om det inte har fullgjort sina skyldigheter enligt GDPR eller har agerat i strid med de lagligen utfärdade anvisningarna från den registeransvarige.

14.2 Internt förhållande (mellan parterna) I det interna förhållandet befriar parterna varandra från ansvar om en part kan bevisa att den inte på något sätt är ansvarig för den omständighet som orsakat skadan.

14.3 Ansvarsbegränsning enligt huvudavtalet I tillägg till detta gäller ansvarsbestämmelserna i huvudavtalet (allmänna villkor). Ansvar för lätt vårdslöshet är uteslutet, såvida det inte rör sig om brott mot väsentliga avtalsförpliktelser (kardinalförpliktelser). I detta fall är ansvaret begränsat till den för avtalstypen typiska, förutsebara skadan.

§ 15 Slutbestämmelser

15.1 Skriftlig form och ändringar Ändringar och tillägg till detta avtal måste göras skriftligen (t.ex. via e-post). Personuppgiftsbiträdet förbehåller sig rätten att ändra detta avtal för att anpassa det till ändrade rättsliga förhållanden eller tekniska utvecklingar. Den personuppgiftsansvarige informeras om ändringar via e-post.

15.2 Rangordning Om enskilda bestämmelser i detta uppdrag för databehandling står i strid med bestämmelserna i huvudavtalet (allmänna villkor), har bestämmelserna i detta uppdrag för databehandling företräde när det gäller dataskydd och datasäkerhet.

15.3 Salvatorisk klausul Om enskilda bestämmelser i detta avtal är eller blir ogiltiga eller ogenomförbara, påverkar detta inte giltigheten av de övriga bestämmelserna. Parterna förbinder sig att ersätta den ogiltiga eller ogenomförbara bestämmelsen med en giltig och genomförbar bestämmelse.

15.4 Tillämplig lag och jurisdiktion Detta avtal omfattas uteslutande av lagstiftningen i Förbundsrepubliken Tyskland, med undantag för FN:s köplag. Exklusiv jurisdiktion för alla tvister som härrör från eller har samband med detta avtal är, i den mån det är lagligt tillåtet, uppdragsbehandlarens säte (Falkensee). Avtalsspråket är tyska.