Auftragsverarbeitungsvertrag

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag") konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen bestehenden Dienstleistungsverhältnis (nachfolgend „Hauptvertrag").

Auftraggeber ist der Elektrobetrieb, der ElektroFlow Hannover mit administrativen Leistungen beauftragt. Auftragnehmer ist Leonardo Rupprecht, handelnd unter ElektroFlow Hannover (ein Angebot von Smarthome Rupprecht), Königswortherstr. 32, 30167 Hannover.

Der Auftraggeber bleibt für die im Auftrag verarbeiteten personenbezogenen Daten Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Der Auftragnehmer verarbeitet diese Daten als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

Dieser Vertrag orientiert sich an den Standardvertragsklauseln für Verträge zwischen Verantwortlichen und Auftragsverarbeitern nach Art. 28 Abs. 7 DSGVO (Durchführungsbeschluss (EU) 2021/915 der Kommission vom 4. Juni 2021). In diesem Vertrag verwendete Begriffe haben dieselbe Bedeutung wie in der DSGVO; der Vertrag ist im Lichte der DSGVO auszulegen und darf nicht so ausgelegt werden, dass er den Rechten und Pflichten aus der DSGVO zuwiderläuft oder die Rechte betroffener Personen beschneidet.

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten, die der Auftraggeber dem Auftragnehmer zur Erbringung der im Hauptvertrag vereinbarten administrativen Dienstleistungen übermittelt oder im Kundenportal bereitstellt.

(2) Die Dauer dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.

(3) Der Auftraggeber kann diesen Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen datenschutzrechtliche Vorschriften oder gegen die Bestimmungen dieses Vertrages vorliegt. Weitere Rechte bei Verstößen gegen diesen Vertrag ergeben sich aus § 13.

§ 2 Art und Zweck der Verarbeitung

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zu folgenden Zwecken: Erstellung und Einreichung von Anträgen bei Netzbetreibern (insbesondere enercity und Avacon), Ausfüllen und Einreichen von FNN-Standardvordrucken und Formularen nach VDE-AR-N 4105, NAV und § 14a EnWG, Registrierungen im Marktstammdatenregister und im ZEREZ, Erstellung von Angebotskalkulationen und Leistungsverzeichnissen sowie Koordination von E-Protokoll-Prüfungen.

(2) Die Verarbeitung umfasst das Erheben, Erfassen, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an die jeweils zuständige Stelle (Netzbetreiber, Register, Prüfbetrieb) sowie das Löschen der Daten.

(3) Der Auftragnehmer führt keine elektrotechnischen Arbeiten durch. Sämtliche elektrotechnischen Arbeiten werden durch eingetragene Elektromeisterbetriebe ausgeführt.

(4) Die Speicherung und die primäre Verarbeitung der Daten finden in einem Mitgliedstaat der Europäischen Union statt. Soweit die in Anlage 2 aufgeführten Unterauftragsverarbeiter Daten in einem Drittland verarbeiten – insbesondere bei Sicherungskopien, Systemprotokollen, Support- und Administrationszugriffen sowie beim Versand von E-Mails und bei der Erstellung von Kalkulationsvorschlägen –, erfolgt dies ausschließlich unter den in § 7 Abs. 7 genannten Voraussetzungen.

§ 3 Art der personenbezogenen Daten

(1) Gegenstand der Verarbeitung sind folgende Datenarten: Namen und Anschriften von Anlagenbetreibern und Grundstückseigentümern; Kontaktdaten (Telefonnummer, E-Mail-Adresse); Objekt- und Anlagenadressen; technische Angaben zur Anlage einschließlich Zähler- und Zählpunktnummern; Inhalte von Vollmachten; Lagepläne und Grundrisse; technische Datenblätter; Angaben aus Installateurausweisen; Prüfprotokolle und Messergebnisse; sowie Vertrags- und Abrechnungsdaten des Auftraggebers.

(2) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Auftraggeber übermittelt solche Daten nicht.

(3) Übermittelt der Auftraggeber dennoch Daten nach Art. 9 DSGVO oder Daten über strafrechtliche Verurteilungen und Straftaten, unterrichtet der Auftragnehmer ihn unverzüglich. Bis zu einer Weisung des Auftraggebers verarbeitet er diese Daten ausschließlich zum Zweck der Aufbewahrung, beschränkt den Zugang auf das unbedingt erforderliche Maß und protokolliert jeden Zugriff.

§ 4 Kreis der betroffenen Personen

Von der Verarbeitung betroffen sind: Endkunden und Anlagenbetreiber des Auftraggebers; Eigentümer und Verwalter der betroffenen Liegenschaften; Mitarbeitende des Auftraggebers, insbesondere benannte Ansprechpartner und verantwortliche Fachkräfte; sowie Nutzer der dem Auftraggeber zugeordneten Portalzugänge.

§ 5 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten der Hauptvertrag, dieser Vertrag sowie die im Kundenportal oder über die Anfrageformulare erteilten Aufträge des Auftraggebers. Der Auftraggeber kann während der gesamten Dauer der Verarbeitung weitere Weisungen erteilen; alle Weisungen werden dokumentiert.

(2) Abweichend von Absatz 1 verarbeitet der Auftragnehmer Daten ohne Weisung, soweit er nach dem Recht der Europäischen Union oder dem Recht eines Mitgliedstaats, dem er unterliegt, dazu verpflichtet ist. In diesem Fall teilt er dem Auftraggeber die betreffenden rechtlichen Anforderungen vor der Verarbeitung mit, sofern das anwendbare Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(3) Einzelweisungen sind in Textform zu erteilen, insbesondere per E-Mail an info@elektroflow-hannover.de. Mündlich erteilte Weisungen sind unverzüglich in Textform zu bestätigen.

(4) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen die DSGVO oder gegen sonstige Datenschutzbestimmungen der Europäischen Union oder ihrer Mitgliedstaaten verstößt, teilt er dies dem Auftraggeber unverzüglich mit. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

(5) Der Auftragnehmer verarbeitet die Daten nur für die in § 2 genannten Zwecke und nur für die in § 1 bestimmte Dauer, sofern der Auftraggeber keine weitergehende Weisung erteilt.

(6) Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers, insbesondere zu Werbezwecken oder zum Training von Systemen künstlicher Intelligenz, findet nicht statt.

§ 6 Vertraulichkeit

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen dieses Vertrages und wahrt über alle ihm bekannt werdenden Informationen Verschwiegenheit. Die Verpflichtung besteht auch nach Beendigung des Vertrages fort.

(2) Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden und zuvor mit den einschlägigen datenschutzrechtlichen Bestimmungen vertraut gemacht wurden. Der Auftragnehmer erbringt die Leistungen derzeit persönlich; werden Mitarbeitende oder freie Mitarbeiter eingesetzt, erfolgt deren Verpflichtung vor Aufnahme der Tätigkeit.

(3) Zugang zu den im Auftrag verarbeiteten Daten erhalten Personen nur, soweit dies für die Durchführung, Verwaltung und Überwachung des Vertrages unbedingt erforderlich ist.

(4) Ein Datenschutzbeauftragter ist nach derzeitiger Einschätzung nicht zu benennen, da die Voraussetzungen des § 38 BDSG nicht erfüllt sind.

§ 7 Unterauftragsverhältnisse

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO für den Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter. Diese Genehmigung wird mit Abschluss dieses Vertrages erteilt.

(2) Der Auftragnehmer beauftragt Unterauftragsverarbeiter ausschließlich auf Grundlage eines Vertrages, der diesen im Wesentlichen dieselben Datenschutzpflichten auferlegt, wie sie für den Auftragnehmer nach diesem Vertrag gelten (Art. 28 Abs. 4 DSGVO). Er stellt sicher, dass der Unterauftragsverarbeiter diese Pflichten erfüllt.

(3) Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden auszutauschen, informiert er den Auftraggeber mindestens vier Wochen vorher in Textform. Der Auftraggeber kann der Änderung innerhalb von vier Wochen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Widerspricht der Auftraggeber, ist der Auftragnehmer berechtigt, den Hauptvertrag mit einer Frist von einem Monat zu kündigen, sofern die Leistung ohne den betreffenden Dienstleister nicht erbracht werden kann.

(4) Die jeweils aktuelle Liste der Unterauftragsverarbeiter ist unter www.elektroflow-hannover.de/avv abrufbar und wird fortlaufend aktuell gehalten.

(5) Der Auftragnehmer stellt dem Auftraggeber auf Verlangen eine Kopie der Vereinbarung mit einem Unterauftragsverarbeiter sowie etwaiger späterer Änderungen zur Verfügung. Soweit dies zum Schutz von Geschäftsgeheimnissen, sonstiger vertraulicher Informationen oder personenbezogener Daten erforderlich ist, darf er einzelne Textstellen vor der Weitergabe unkenntlich machen.

(6) Der Auftragnehmer haftet gegenüber dem Auftraggeber in vollem Umfang dafür, dass der Unterauftragsverarbeiter seine Pflichten aus der mit dem Auftragnehmer geschlossenen Vereinbarung erfüllt. Erfüllt ein Unterauftragsverarbeiter seine vertraglichen Pflichten nicht, unterrichtet der Auftragnehmer den Auftraggeber unverzüglich.

(7) Eine Übermittlung von Daten in ein Drittland oder an eine internationale Organisation erfolgt ausschließlich auf dokumentierte Weisung des Auftraggebers oder zur Erfüllung einer Verpflichtung nach dem Recht der Europäischen Union oder eines Mitgliedstaats, dem der Auftragnehmer unterliegt, und nur im Einklang mit Kapitel V der DSGVO. Der Auftragnehmer stellt die Zulässigkeit durch geeignete Garantien nach Art. 46 DSGVO sicher, insbesondere durch die Standardvertragsklauseln der EU-Kommission. Der Auftraggeber stimmt zu, dass der Auftragnehmer und ein Unterauftragsverarbeiter die Einhaltung des Kapitels V auf diesem Weg sicherstellen.

(8) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikationsdienste sowie die Einreichung von Anträgen bei Netzbetreibern, Registern und Behörden: Diese sind Gegenstand des Auftrags und erfolgen auf Weisung des Auftraggebers gegenüber eigenständig Verantwortlichen.

§ 8 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer ist berechtigt, sie anzupassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

(3) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei der Sicherheit der Verarbeitung nach Art. 32 DSGVO, bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO sowie bei einer vorherigen Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO.

(4) Stellt der Auftragnehmer fest, dass im Auftrag verarbeitete Daten unrichtig oder veraltet sind, unterrichtet er den Auftraggeber unverzüglich.

(5) Der Auftragnehmer bearbeitet Anfragen des Auftraggebers zur Verarbeitung nach diesem Vertrag unverzüglich und in angemessener Weise.

§ 9 Unterstützung bei Betroffenenrechten

(1) Macht eine betroffene Person Rechte nach den Art. 15 bis 22 DSGVO unmittelbar gegenüber dem Auftragnehmer geltend, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

(2) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs- und Übertragbarkeitsansprüchen. Der Auftraggeber kann die zu einer Anfrage gespeicherten Daten und Dokumente jederzeit selbst im Kundenportal einsehen und herunterladen.

(3) Berichtigungen, Löschungen und Einschränkungen nimmt der Auftragnehmer nur auf Weisung des Auftraggebers vor.

(4) Die Unterstützung erfolgt unentgeltlich, soweit sie nicht auf einem Umstand beruht, den der Auftraggeber zu vertreten hat.

§ 10 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer informiert den Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden, spätestens innerhalb von 48 Stunden nach Bekanntwerden, über jede Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten betrifft.

(2) Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Gegenmaßnahmen einschließlich Maßnahmen zur Abmilderung nachteiliger Auswirkungen sowie die Kontaktdaten einer Anlaufstelle für weitere Informationen. Können nicht alle Angaben gleichzeitig bereitgestellt werden, enthält die erste Meldung die verfügbaren Angaben; die übrigen werden unverzüglich nachgereicht, sobald sie verfügbar sind.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei dessen Melde- und Benachrichtigungspflichten nach den Art. 33 und 34 DSGVO. Meldungen an die Aufsichtsbehörde oder an betroffene Personen nimmt ausschließlich der Auftraggeber vor.

(4) Meldungen des Auftragnehmers erfolgen an die vom Auftraggeber im Kundenportal hinterlegte E-Mail-Adresse.

§ 11 Kontrollrechte des Auftraggebers

(1) Beide Parteien müssen die Einhaltung dieses Vertrages nachweisen können. Der Auftraggeber hat das Recht, die Einhaltung dieses Vertrages und der getroffenen technischen und organisatorischen Maßnahmen zu überprüfen.

(2) Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrages und der unmittelbar aus der DSGVO folgenden Pflichten erforderlich sind, insbesondere die aktuelle Fassung der Anlage 1 sowie die Nachweise der Unterauftragsverarbeiter.

(3) Der Nachweis wird vorrangig durch Dokumentation, Selbstauskunft des Auftragnehmers sowie durch Zertifikate und Prüfberichte der Unterauftragsverarbeiter geführt. Reichen diese Nachweise im Einzelfall nicht aus, kann der Auftraggeber in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung eine weitergehende Überprüfung selbst durchführen oder durch einen unabhängigen Prüfer durchführen lassen; der Prüfer ist zur Vertraulichkeit zu verpflichten und darf kein Wettbewerber des Auftragnehmers sein.

(4) Inspektionen der Räumlichkeiten und Einrichtungen des Auftragnehmers sind zulässig nach Ankündigung mit einem Vorlauf von mindestens 14 Tagen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs. Sie sind auf das erforderliche Maß beschränkt und erfolgen höchstens einmal je Kalenderjahr, es sei denn, es besteht ein konkreter Anlass. Der Auftragnehmer duldet solche Inspektionen und trägt zu ihnen bei; die Kosten der Inspektion einschließlich der Kosten eines beauftragten Prüfers trägt der Auftraggeber.

(5) Die Parteien stellen der zuständigen Aufsichtsbehörde die in diesem Paragrafen genannten Informationen einschließlich der Ergebnisse von Überprüfungen auf Anfrage zur Verfügung.

(6) Der Auftragnehmer kann für Kontrollen, die über die Bereitstellung der Nachweise nach Absatz 2 hinausgehen und die nicht durch einen konkreten Anlass veranlasst sind, eine angemessene Vergütung verlangen.

§ 12 Löschung und Rückgabe nach Beendigung des Auftrags

(1) Nach Beendigung des Auftrags löscht der Auftragnehmer die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Auftraggebers zurück. Der Auftraggeber teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende in Textform mit; trifft er keine Wahl, werden die Daten gelöscht.

(2) Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format. Dokumente werden im Originalformat zur Verfügung gestellt.

(3) Die Löschung erfolgt innerhalb von 90 Tagen nach Vertragsende und umfasst auch die bei den Unterauftragsverarbeitern gespeicherten Kopien. Sicherungskopien werden im Rahmen der regulären Sicherungszyklen gelöscht; bis dahin bleiben sie durch die Maßnahmen nach Anlage 1 geschützt.

(4) Unberührt bleiben gesetzliche Aufbewahrungspflichten, insbesondere aus Handels- und Steuerrecht. Für die davon erfassten Unterlagen, namentlich Rechnungen und die zugehörigen Nachweise, gilt eine Einschränkung der Verarbeitung anstelle der Löschung; eine anderweitige Nutzung findet nicht statt.

(5) Die Löschung wird dem Auftraggeber auf Verlangen in Textform bestätigt.

(6) Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragnehmer weiterhin die Einhaltung dieses Vertrages.

§ 13 Verstöße gegen diesen Vertrag und Beendigung

(1) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, wenn er aus welchem Grund auch immer nicht in der Lage ist, diesen Vertrag einzuhalten.

(2) Kommt der Auftragnehmer seinen Pflichten aus diesem Vertrag nicht nach, kann der Auftraggeber ihn anweisen, die Verarbeitung personenbezogener Daten auszusetzen, bis der Vertrag eingehalten wird oder beendet ist. Ansprüche und Rechte aus der DSGVO bleiben unberührt.

(3) Der Auftraggeber ist berechtigt, diesen Vertrag zu kündigen, wenn die Verarbeitung nach Absatz 2 ausgesetzt war und die Einhaltung des Vertrages nicht innerhalb einer angemessenen Frist, längstens innerhalb eines Monats nach der Aussetzung, wiederhergestellt wurde; wenn der Auftragnehmer in erheblichem Umfang oder fortdauernd gegen diesen Vertrag oder gegen seine Pflichten aus der DSGVO verstößt; oder wenn der Auftragnehmer einer bindenden Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde über seine Pflichten aus diesem Vertrag oder aus der DSGVO nicht nachkommt.

(4) Der Auftragnehmer ist berechtigt, diesen Vertrag zu kündigen, wenn der Auftraggeber auf der Ausführung einer Weisung besteht, nachdem der Auftragnehmer ihn nach § 5 Abs. 4 darüber unterrichtet hat, dass die Weisung gegen geltendes Datenschutzrecht verstößt.

(5) Für Löschung und Rückgabe der Daten nach einer Beendigung gilt § 12.

§ 14 Haftung und Schlussbestimmungen

(1) Für die Haftung der Parteien gilt Art. 82 DSGVO.

(2) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Dies gilt auch für die Änderung dieser Formklausel.

(3) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame Regelung, die dem verfolgten Zweck am nächsten kommt.

(4) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit die Verarbeitung personenbezogener Daten betroffen ist.

(5) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Hannover, sofern der Auftraggeber Kaufmann ist.

(6) Dieser Vertrag wird elektronisch geschlossen. Die Zustimmung des Auftraggebers wird mit Version, Zeitstempel, Firmenbezeichnung und zustimmender Person dokumentiert und ist beiden Parteien auf Anfrage zugänglich. Eine Unterzeichnung in Schriftform ist nicht erforderlich.