Stand: 07.09.2026

Dieser AVV regelt die Verarbeitung personenbezogener Daten durch die SPiNE GmbH („Auftragsverarbeiter“) im Auftrag des Kunden („Verantwortlicher“) im Rahmen der Nutzung der SPiNE-Dienste, insbesondere der Produktfamilien NMS (Netzwerkmanagement-System für Smart-Meter-Gateways) und EnergyLink (Erfassung, Verarbeitung und Steuerung von Energieanlagen mittels lokaler Edge-Controller), jeweils bereitgestellt über das Webportal https://portal.spine.energy/ sowie ggf. ergänzende SPiNE-Dienste.

Die Verarbeitung der Daten erfolgt ausschließlich im Rahmen der Vorgaben des Verantwortlichen und unter Einhaltung der geltenden Datenschutzbestimmungen, insbesondere der Datenschutz-Grundverordnung (DSGVO).

Dieser AVV gilt nur, soweit SPiNE personenbezogene Daten als Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet.

Dieser AVV wird nach Art. 28 Abs. 3, 9 DSGVO elektronisch geschlossen; eine handschriftliche oder qualifizierte elektronische Signatur ist nicht erforderlich. Es gilt die bei Vertragsschluss einbezogene Fassung.

Soweit Änderungen dieses AVV aufgrund geänderter gesetzlicher oder regulatorischer Datenschutzanforderungen erforderlich sind, kann der Auftragsverarbeiter diese mit angemessener Vorankündigung in Textform vornehmen. Änderungen bei Unterauftragsverarbeitern richten sich nach Ziffer 8.

Der Auftragsverarbeiter stellt dem Verantwortlichen im Rahmen der jeweils genutzten SPiNE-Dienste cloudbasierte Softwarelösungen („Software-as-a-Service“) sowie gegebenenfalls ergänzende Hardware-Komponenten zur Verfügung, um Geräte und Energieanlagen zu verwalten, deren Konnektivität zu überwachen, Apps auf diesen Geräten zu installieren und zu betreiben sowie Anlagen- und Verbrauchsdaten zu erfassen, zu verarbeiten und im Rahmen der jeweiligen Plattformmodule bereitzustellen.

Der Auftragsverarbeiter verarbeitet dabei personenbezogene Daten von Nutzer:innen und Endkund:innen, soweit dies für Authentifizierung, Rollen-/Rechtemanagement, Protokollierung, Berichtswesen sowie die Erfassung und Bereitstellung von Anlagen- und Verbrauchsdaten erforderlich ist.

Die Verarbeitung erfolgt für die Dauer des Vertragsverhältnisses.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung der jeweils genutzten SPiNE-Dienste, insbesondere:

Technische Geräte-, Kommunikations-, Standort- und Anlagendaten (z. B. Statusinformationen, Verbindungsqualität) unterliegen diesem AVV, soweit sie sich unmittelbar oder mittelbar einer identifizierten oder identifizierbaren natürlichen Person zuordnen lassen; ein Bezug zu einem Haushalt, einer Messstelle oder einer sonstigen Kennung kann dies ermöglichen.

Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen folgende Kategorien personenbezogener Daten:

Die betroffenen Personen sind:

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; dies umfasst auch Weisungen zu Übermittlungen personenbezogener Daten in Drittländer oder an internationale Organisationen (siehe hierzu ergänzend Ziffer 13).

Der Auftragsverarbeiter setzt geeignete technische und organisatorische Maßnahmen (TOM) gemäß Ziffer 11 um.

Der Auftragsverarbeiter gewährleistet, dass alle mit der Verarbeitung der Daten befassten Personen zur Vertraulichkeit verpflichtet wurden und die Datenschutzvorschriften beachten.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung des Verantwortlichen gegen die DSGVO oder andere anwendbare datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen hierüber unverzüglich.

Ist der Auftragsverarbeiter nach dem Recht der Europäischen Union oder der Bundesrepublik Deutschland zu einer Verarbeitung verpflichtet, die nicht auf einer Weisung des Verantwortlichen beruht, informiert er den Verantwortlichen vor der Verarbeitung hierüber, soweit dies gesetzlich nicht untersagt ist.

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, die Erfüllung der Informationspflichten, das Vorliegen geeigneter Rechtsgrundlagen sowie die Wahrung der Rechte der betroffenen Personen verantwortlich.

Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Datenverarbeitung feststellt.

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern.

Der Auftragsverarbeiter führt eine aktuelle Liste der eingesetzten Unterauftragsverarbeiter, die beim Auftragsverarbeiter abrufbar ist.

Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzuziehen oder auszutauschen, informiert er den Verantwortlichen hierüber vorab in Textform. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach dieser Mitteilung aus datenschutzrechtlich begründeten Gründen widersprechen; erfolgt kein Widerspruch innerhalb dieser Frist, gilt die Änderung als genehmigt.

Bei einem berechtigten Widerspruch bemühen sich die Parteien um eine zumutbare Lösung.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter mindestens zu den datenschutzrechtlichen Pflichten, die für dessen jeweilige Verarbeitung im Rahmen dieser Vereinbarung gelten.

Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Erfüllung der datenschutzrechtlichen Pflichten seiner Unterauftragsverarbeiter verantwortlich.

Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit dies möglich und erforderlich ist, bei der Erfüllung der Rechte der betroffenen Personen gemäß Art. 12–23 DSGVO (z. B. Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung).

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung von dessen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere im Zusammenhang mit der Sicherheit der Verarbeitung, Datenschutz-Folgenabschätzungen und einer gegebenenfalls erforderlichen vorherigen Konsultation der Aufsichtsbehörde.

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten im Rahmen dieser Vereinbarung bekannt, informiert er den Verantwortlichen hierüber unverzüglich und stellt ihm die verfügbaren Informationen zur Verfügung, die dieser für die Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO benötigt.

Der Auftragsverarbeiter gewährleistet Vertraulichkeit, Integrität und Verfügbarkeit der Daten durch geeignete technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO. Die jeweils geltenden TOM sind Bestandteil und verbindliche Konkretisierung dieses AVV, werden dem Verantwortlichen in einer gesondert geführten, dauerhaft abrufbaren TOM-Dokumentation zugänglich gemacht und dürfen an technische Entwicklungen und den Stand der Technik angepasst werden, sofern das vereinbarte Schutzniveau dadurch nicht abgesenkt wird. Auf Anfrage stellt der Auftragsverarbeiter ergänzend zu Ziffer 12 geeignete Nachweise der umgesetzten Maßnahmen bereit.

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung, insbesondere in Form von Dokumentation, Zertifizierungen oder Prüfberichten zu den umgesetzten technischen und organisatorischen Maßnahmen; das gesetzliche Kontrollrecht des Verantwortlichen bleibt hiervon unberührt.

Reichen diese Nachweise im Einzelfall nicht aus, ermöglicht der Auftragsverarbeiter dem Verantwortlichen eine Vor-Ort-Prüfung oder wirkt an einer solchen mit. Vor-Ort-Prüfungen erfolgen grundsätzlich höchstens einmal jährlich mit einer Vorankündigung von mindestens 10 Werktagen; diese Beschränkung gilt nicht, soweit aufgrund eines konkreten Datenschutzvorfalls, eines begründeten Verdachts einer wesentlichen Pflichtverletzung oder einer Anforderung einer zuständigen Aufsichtsbehörde eine kurzfristigere oder zusätzliche Prüfung erforderlich ist.

Die Bereitstellung üblicher Nachweise und Dokumentationen erfolgt ohne gesonderte Kosten. Zusätzliche, außergewöhnliche Prüfungen oder Vor-Ort-Audits auf Wunsch des Verantwortlichen können ihm mit angemessenen Kosten belastet werden, sofern die Prüfung keine wesentliche datenschutzrechtliche Pflichtverletzung des Auftragsverarbeiters ergibt.

Personenbezogene Daten werden nur dann in Staaten außerhalb des Europäischen Wirtschaftsraums übermittelt oder dort verarbeitet, wenn die Voraussetzungen der Art. 44 ff. DSGVO (Kapitel V) eingehalten werden, insbesondere durch einen Angemessenheitsbeschluss der Europäischen Kommission, geeignete Garantien (z. B. Standardvertragsklauseln) oder eine sonstige zulässige Rechtsgrundlage.

Nach Beendigung der vertraglichen Leistungserbringung löscht der Auftragsverarbeiter personenbezogene Daten oder gibt sie an den Verantwortlichen zurück – nach dessen Wahl. Nach einer Rückgabe löscht der Auftragsverarbeiter vorhandene personenbezogene Daten und Kopien, soweit keine gesetzliche Verpflichtung zur weiteren Speicherung besteht; eine solche gesetzliche Aufbewahrungspflicht bleibt unberührt.

Die Haftung der Parteien für Schäden im Zusammenhang mit der Verarbeitung personenbezogener Daten richtet sich nach den gesetzlichen Vorschriften, insbesondere nach Art. 82 DSGVO.

Unwirksamkeit einzelner Bestimmungen berührt die Wirksamkeit des AVV im Übrigen nicht.

Es gilt das Recht der Bundesrepublik Deutschland. Der Gerichtsstand richtet sich nach der entsprechenden Regelung des Hauptvertrags bzw. der SPiNE-AGB.