AVV

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

Auftraggeber: Der jeweilige Kunde gemäß dem zugrunde liegenden Abonnement- bzw. Nutzungsvertrag des digitalmessdienst-Portals (nachfolgend „Auftraggeber“)

Auftragsverarbeiter: pironex technology GmbH, Stangenland 4, 18146 Rostock, HRB 11297 Amtsgericht Rostock, vertreten durch Geschäftsführer Tino Hülsenbeck (nachfolgend „Auftragsverarbeiter“ oder „pironex“)

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Vertragsparteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Auftraggebers gemäß Art. 28 DSGVO.

1.1 Gegenstand

Der Auftragsverarbeiter betreibt die cloudbasierte Plattform digitalmessdienst einschließlich der zugehörigen Software- und Backenddienste. Die Plattform dient insbesondere:

•       der Verwaltung von Immobilien

•       der Erfassung und Verarbeitung von Mess- und Verbrauchsdaten

•       der Erstellung gesetzlich vorgeschriebener unterjähriger Verbrauchsinformationen (UVI)

•       der Erstellung von Heizkostenabrechnungen

•       der Verwaltung von Messgeräten und Datensammlern

•       der Bereitstellung von Auswertungen sowie

•       der Bereitstellung des Mieterportals zur Einsicht und zum Download eigener Verbrauchsdaten

Im Rahmen dieser Leistungen verarbeitet der Auftragsverarbeiter personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers.

1.2 Dauer

Die Verarbeitung beginnt mit Abschluss des digitalmessdienst-Pakets über den Onlineshop oder im Portal. Sie endet mit Beendigung dieses Vertragsverhältnisses sowie der anschließenden Durchführung der in § 8 geregelten Rückgabe- und Löschprozesse.

2.1 Art der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Durchführung der vereinbarten Dienstleistungen. Hierzu gehören insbesondere: Erheben, Erfassen, Speichern, Strukturieren, Ordnen, Verändern, Auslesen, Verwenden, Übermitteln, Bereitstellen, Zusammenführen, Auswerten, Archivieren und Löschen personenbezogener Daten.

2.2 Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zur:

•       Durchführung der digitalen Messdienstleistungen

•       Verwaltung von Immobilien

•       Verwaltung von Messgeräten und Datensammlern

•       Erstellung gesetzlich vorgeschriebener Verbrauchsinformationen

•       Erstellung von Heizkostenabrechnungen

•       Verwaltung von Benutzerkonten

•       Bereitstellung des Kundenportals

•       Erfüllung gesetzlicher Verpflichtungen des Auftraggebers

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters erfolgt nicht, soweit diese Vereinbarung oder gesetzliche Vorschriften nichts anderes vorsehen.

2.3 Kategorien personenbezogener Daten

Je nach Nutzung des Systems können insbesondere folgende personenbezogene Daten verarbeitet werden:

Stammdaten:

•       Vor- und Nachname

•       Anschrift

•       Wohnungsnummer

•       Objektbezeichnung

•       E-Mail-Adresse

•       Telefonnummer (sofern vom Auftraggeber hinterlegt)

Mess- und Verbrauchsdaten:

•       Zählerstände

•       Verbrauchswerte

•       Messwerte der Datensammler

•       Zeitstempel der Messungen

Abrechnungsdaten:

•       Heizkostenabrechnungen

•       Unterjährige Verbrauchsinformationen (UVI)

•       Abrechnungszeiträume

•       Kostenanteile

Kommunikationsdaten:

•       Versandhistorien

•       E-Mail-Kommunikation

•       Systembenachrichtigungen

•       Protokolle über den Dokumentenversand

2.4 Kategorien betroffener Personen

Von der Verarbeitung können insbesondere betroffen sein:

•       Mieter

•       Bewohner

•       Wohnungseigentümer

•       Verwalter

•       sonstige vom Auftraggeber berechtigte Nutzer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern nicht eine gesetzliche Verpflichtung eine hiervon abweichende Verarbeitung erfordert.

Weisungen werden regelmäßig durch die Nutzung des digitalmessdienst-Portals erteilt. Hierzu zählen insbesondere das Anlegen, Ändern oder Löschen personenbezogener Daten, das Auslösen von Abrechnungen sowie der Versand von Dokumenten oder Verbrauchsinformationen. Weitergehende Weisungen bedürfen mindestens der Textform.

Hält der Auftragsverarbeiter eine Weisung des Auftraggebers für datenschutzrechtlich unzulässig, informiert er den Auftraggeber unverzüglich. Bis zur Klärung ist der Auftragsverarbeiter berechtigt, die Ausführung der betreffenden Weisung auszusetzen.

Der Auftragsverarbeiter verpflichtet sich:

•       personenbezogene Daten ausschließlich entsprechend dieser Vereinbarung sowie den dokumentierten Weisungen des Auftraggebers zu verarbeiten

•       sicherzustellen, dass sämtliche mit der Verarbeitung personenbezogener Daten betrauten Personen gemäß Art. 28 Abs. 3 lit. b DSGVO zur Vertraulichkeit verpflichtet wurden

•       geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu treffen

•       den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO angemessen zu unterstützen

•       den Auftraggeber unverzüglich über Verletzungen des Schutzes personenbezogener Daten zu informieren

•       sämtliche Zugriffe auf personenbezogene Daten im Rahmen administrativer Tätigkeiten nachvollziehbar zu protokollieren

•       dem Auftraggeber die Einhaltung dieser Vereinbarung auf Verlangen nachzuweisen

•       angemessene Audits nach vorheriger schriftlicher Ankündigung zu ermöglichen, soweit dadurch der Geschäftsbetrieb nicht unverhältnismäßig beeinträchtigt wird

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau sicherzustellen. Die Maßnahmen orientieren sich am Stand der Technik, den Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere möglicher Risiken.

Die technischen und organisatorischen Maßnahmen sind in Anlage 1 dieses Vertrages beschrieben. Der Auftragsverarbeiter überprüft die Wirksamkeit der Maßnahmen regelmäßig und entwickelt diese entsprechend der technischen und rechtlichen Anforderungen fort.

6.1 Allgemeines

Der Auftragsverarbeiter ist berechtigt, zur Erbringung seiner vertraglichen Leistungen weitere Auftragsverarbeiter gemäß Art. 28 Abs. 2 DSGVO einzusetzen. Der Auftragsverarbeiter stellt sicher, dass sämtliche Unterauftragnehmer durch schriftliche oder elektronische Vereinbarungen verpflichtet werden, ein Datenschutzniveau einzuhalten, das den Anforderungen dieses Vertrages sowie den Vorgaben der DSGVO entspricht. Der Auftraggeber erteilt hierzu seine allgemeine Genehmigung.

6.2 Änderung von Unterauftragnehmern

Der Auftragsverarbeiter informiert den Auftraggeber mindestens 30 Kalendertage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragnehmers. Der Auftraggeber kann innerhalb dieser Frist aus datenschutzrechtlich begründeten Gründen widersprechen. Können sich die Parteien nicht einigen, steht dem Auftraggeber ein außerordentliches Kündigungsrecht hinsichtlich des zugrunde liegenden Vertrags zu.

6.3 Aktuell eingesetzte Unterauftragnehmer

* PayWhirl Inc. ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Für die Datenübertragung in die USA werden zusätzlich Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO eingesetzt.

Die eingesetzten APIs und Webhooks dienen ausschließlich der technischen Kommunikation zwischen den Systemen. Die Fachanwendung digitalmessdienst einschließlich der Verarbeitung von Mess-, Geräte-, Abrechnungs- und Mieterdaten wird vollständig durch die pironex technology GmbH entwickelt und betrieben.

Der Auftragsverarbeiter unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung sowie der ihm zur Verfügung stehenden Informationen bei der Erfüllung der gesetzlichen Pflichten nach Kapitel III DSGVO. Hierzu gehören insbesondere die Unterstützung bei:

•       Auskunftsersuchen

•       Berichtigungen

•       Löschungen

•       Einschränkungen der Verarbeitung

•       Datenübertragbarkeit

•       Widersprüchen betroffener Personen

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, wird diese Anfrage unverzüglich an den Auftraggeber weitergeleitet, sofern keine gesetzliche Verpflichtung zur unmittelbaren Bearbeitung besteht.

Mit Beendigung des zugrunde liegenden Nutzungsvertrages endet die Auftragsverarbeitung. Der Auftraggeber erhält anschließend für einen Zeitraum von 90 Kalendertagen einen ausschließlich lesenden Zugriff auf das digitalmessdienst-Portal. Während dieses Zeitraums können sämtliche personenbezogenen Daten sowie erzeugte Dokumente über die Exportfunktionen des Systems heruntergeladen werden. Schreibzugriffe oder neue Messwerterfassungen sind in diesem Zeitraum nicht mehr möglich.

Auf Wunsch stellt der Auftragsverarbeiter sämtliche personenbezogenen Daten zusätzlich in einem gängigen maschinenlesbaren Format zur Verfügung.

Nach Ablauf der Exportfrist werden sämtliche personenbezogenen Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Löschung umfasst auch personenbezogene Daten in Sicherungskopien, soweit diese im Rahmen der regulären Backup-Zyklen überschrieben werden.

Der Auftraggeber kann eine vorzeitige Löschung jederzeit in Textform verlangen. In diesem Fall besteht kein Anspruch auf eine spätere Wiederherstellung oder Datenherausgabe.

Der Auftragsverarbeiter bestätigt die Löschung auf Wunsch in Textform.

Geräte-, Zähler- und Messdaten der Datensammler sowie daraus erzeugte statistische Auswertungen dürfen nach vollständiger Anonymisierung weiterhin zu Zwecken der Produktverbesserung, Qualitätssicherung sowie statistischen Auswertung genutzt werden. Ein Personenbezug darf hierbei auch mit verhältnismäßigem Aufwand nicht mehr hergestellt werden können.

Die Haftung der Vertragsparteien richtet sich nach den gesetzlichen Bestimmungen der Datenschutz-Grundverordnung, insbesondere Art. 82 DSGVO. Ergänzend gelten die Haftungsregelungen des zwischen den Parteien geschlossenen Hauptvertrages einschließlich der Allgemeinen Geschäftsbedingungen der pironex technology GmbH, soweit diese den gesetzlichen Vorgaben nicht widersprechen.

Diese Vereinbarung wird im Rahmen des elektronischen Bestellprozesses des digitalmessdienst-Portals/ Onlineshops geschlossen. Der Auftraggeber bestätigt seine Zustimmung durch Aktivierung der hierfür vorgesehenen Checkbox während des Bestellvorgangs.

Datum, Uhrzeit sowie die Bestellreferenz werden durch den Auftragsverarbeiter protokolliert und gemeinsam mit der Bestellbestätigung dokumentiert. Der Auftraggeber erhält zusammen mit der Bestellbestätigung eine Ausfertigung dieses Vertrages in Textform.

Die jeweils aktuelle Fassung dieses Vertrages steht dauerhaft unter https://digitalmessdienst.de/avv zum Abruf bereit.

Änderungen dieser Vereinbarung werden dem Auftraggeber mindestens 30 Kalendertage vor ihrem Inkrafttreten in Textform mitgeteilt. Sofern der Auftraggeber den Änderungen nicht innerhalb dieser Frist widerspricht, gelten sie als angenommen. Im Falle eines fristgerechten Widerspruchs sind beide Parteien berechtigt, den zugrunde liegenden Nutzungsvertrag außerordentlich zu kündigen.

Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt. An die Stelle der unwirksamen oder undurchführbaren Regelung tritt eine Regelung, die dem wirtschaftlichen Zweck der ursprünglichen Bestimmung möglichst nahekommt und den datenschutzrechtlichen Anforderungen entspricht.

Änderungen oder Ergänzungen dieser Vereinbarung bedürfen mindestens der Textform, soweit gesetzlich keine strengere Form vorgeschrieben ist. Soweit gesetzlich zulässig, gilt deutsches Recht.