Auftragsverarbeitungsvertrag (AVV)
Die PDF-Version steht hier zum Download bereit.
Präambel
Dieser AVV regelt die Verarbeitung personenbezogener Daten durch die SPiNE GmbH („Auftragsverarbeiter“) im Auftrag des Kunden („Verantwortlicher“) im Rahmen der Nutzung des Webportals https://portal.spine.energy/ zur Überwachung und Analyse der Mobilfunkverbindung von Smart Meter Gateways.
Die Verarbeitung der Daten erfolgt ausschließlich im Rahmen der Vorgaben des Verantwortlichen und unter Einhaltung der geltenden Datenschutzbestimmungen, insbesondere der Datenschutz-Grundverordnung (DSGVO).
1. Abschluss, Geltung, Nachweis
Dieser AVV wird nach Art. 28 Abs. 3, 9 DSGVO elektronisch geschlossen. Eine handschriftliche oder qualifizierte elektronische Signatur ist nicht erforderlich.
Mit Zustimmung zu den AGB wird der AVV Bestandteil des Vertragsverhältnisses. Die jeweils aktuelle Fassung ist unter Allgemeine Geschäftsbedingungen abrufbar.
Änderungen werden in Textform mitgeteilt. Widerspricht der Kunde nicht binnen 30 Tagen, gilt die Änderung als genehmigt. Auf das Widerspruchsrecht wird ausdrücklich hingewiesen.
SPiNE führt ein Änderungs- und Versionsprotokoll und archiviert Vorversionen zu Nachweiszwecken.
2. Gegenstand der Vereinbarung
Der Anbieter stellt dem Kunden cloudbasierte Softwarelösungen („Software-as-a-Service“) sowie gegebenenfalls physische Geräte zur Verfügung, um Geräte zu verwalten, deren Konnektivität zu überwachen, Apps auf diesen Geräten zu installieren und zu betreiben sowie Daten und Berichte im Rahmen der jeweiligen Plattformmodule bereitzustellen.
Verarbeitung personenbezogener Daten von Nutzer:innen und Endkund:innen, soweit für Authentifizierung, Rollen-/Rechtemanagement, Protokollierung und Berichtswesen erforderlich.
3. Dauer der Verarbeitung
Die Verarbeitung erfolgt für die Dauer des Vertragsverhältnisses. Nach Vertragsende erfolgt die Löschung oder Rückgabe gemäß den Bestimmungen zur Datenlöschung.
4. Art und Zweck der Verarbeitung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung der Portal- und Monitoring-Funktionen:
Speicherung von Nutzer- und Endkundendaten zur Authentifizierung und Verwaltung der Zugriffe
Erhebung und Auswertung technischer Verbindungsdaten der Gateways im Auftrag des Verantwortlichen
Nicht-personenbezogene Daten der Gateways, wie technische Statusinformationen und Verbindungsqualität, werden durch den Auftragsverarbeiter nur zu den im Hauptvertrag festgelegten Zwecken verarbeitet und unterliegen nicht den spezifischen Regelungen dieser Vereinbarung.
5. Datenkategorien und betroffene Personen
Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen folgende Kategorien personenbezogener Daten:
Daten der Endkunden (z. B. Name, Adressdaten, Kontaktdaten)
Daten der Nutzer des Webportals (z. B. Name, E-Mail-Adresse, Zugangsprotokolle)
Die betroffenen Personen sind:
Endkunden des Verantwortlichen
Mitarbeitende und Nutzer:innen des Verantwortlichen, die als autorisierte Nutzer Zugang zum Webportal erhalten
6. Pflichten des Auftragsverarbeiters
Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen; Sicherstellung der Vertraulichkeit der mit der Verarbeitung betrauten Personen.
Umsetzung geeigneter technischer und organisatorischer Maßnahmen (TOM) nach Art. 32 DSGVO; Übersicht unter Technische und organisatorische Maßnahmen (TOM).
Der Auftragsverarbeiter gewährleistet, dass alle mit der Verarbeitung der Daten befassten Personen zur Vertraulichkeit verpflichtet wurden und die Datenschutzvorschriften beachten.
7. Pflichten des Verantwortlichen
Rechtmäßigkeit der Verarbeitung, Informationspflichten, Rechtsgrundlagen und Wahrung der Rechte der Betroffenen.
Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Datenverarbeitung feststellt.
8. Unterauftragsverarbeiter
Der Einsatz von Unterauftragsverarbeitern ist zulässig. Die aktuelle Liste ist unter SPiNE abrufbar.
Der Auftragsverarbeiter stellt sicher, dass mit jedem Unterauftragsverarbeiter eine Vereinbarung getroffen wird, die den Anforderungen dieser Vereinbarung entspricht.
9. Rechte der betroffenen Personen
Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit dies möglich und erforderlich ist, bei der Erfüllung der Rechte der betroffenen Personen gemäß Art. 12–23 DSGVO (z. B. Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung).
10. Sicherheitsmaßnahmen
Der Auftragsverarbeiter gewährleistet Vertraulichkeit, Integrität und Verfügbarkeit der Daten durch geeignete technische und organisatorische Maßnahmen (z. B. Zugriffskontrollen, Verschlüsselung, Härtung, Protokollierung, Backups, Notfallmanagement). Diese werden regelmäßig überprüft und dem Stand der Technik angepasst.
11. Löschung und Rückgabe von Daten
Nach Beendigung der vertraglichen Leistungserbringung oder auf Weisung des Verantwortlichen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt diese an den Verantwortlichen zurück, sofern keine gesetzliche Verpflichtung zur Speicherung besteht.
12. Haftung
Der Auftragsverarbeiter haftet für Schäden, die durch eine nicht weisungsgemäße Verarbeitung der Daten entstehen, nur im Rahmen der gesetzlichen Vorschriften.
13. Schlussbestimmungen
Änderungen dieses AVV erfolgen in Textform; elektronische Mitteilung ist ausreichend.
Unwirksamkeit einzelner Bestimmungen berührt die Wirksamkeit des AVV im Übrigen nicht.
Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz des Verantwortlichen.