AVV

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

Auftraggeber: Der jeweilige Kunde gemäß dem zugrunde liegenden Abonnement- bzw. Nutzungsvertrag des digitalmessdienst-Portals (nachfolgend „Auftraggeber“)

Auftragsverarbeiter: pironex technology GmbH, Stangenland 4, 18146 Rostock, HRB 11297 Amtsgericht Rostock, vertreten durch Geschäftsführer Tino Hülsenbeck (nachfolgend „Auftragsverarbeiter“ oder „pironex“)

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Vertragsparteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Auftraggebers gemäß Art. 28 DSGVO.

1.1 Gegenstand

Der Auftragsverarbeiter betreibt die cloudbasierte Plattform digitalmessdienst einschließlich der zugehörigen Software- und Backenddienste. Die Plattform dient insbesondere:

•       der Verwaltung von Immobilien

•       der Erfassung und Verarbeitung von Mess- und Verbrauchsdaten

•       der Erstellung gesetzlich vorgeschriebener unterjähriger Verbrauchsinformationen (UVI)

•       der Erstellung von Heizkostenabrechnungen

•       der Verwaltung von Messgeräten und Datensammlern

•       der Bereitstellung von Auswertungen sowie

•       der Bereitstellung des Mieterportals zur Einsicht und zum Download eigener Verbrauchsdaten

Im Rahmen dieser Leistungen verarbeitet der Auftragsverarbeiter personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers.

1.2 Dauer

2.1 Art der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Durchführung der vereinbarten Dienstleistungen. Hierzu gehören insbesondere: Erheben, Erfassen, Speichern, Strukturieren, Ordnen, Verändern, Auslesen, Verwenden, Übermitteln, Bereitstellen, Zusammenführen, Auswerten, Archivieren und Löschen personenbezogener Daten.

2.2 Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zur:

•       Durchführung der digitalen Messdienstleistungen

•       Verwaltung von Immobilien

•       Verwaltung von Messgeräten und Datensammlern

•       Erstellung gesetzlich vorgeschriebener Verbrauchsinformationen

•       Erstellung von Heizkostenabrechnungen

•       Verwaltung von Benutzerkonten

•       Bereitstellung des Kundenportals

•       Unterstützung des Auftraggebers bei der Erfüllung seiner gesetzlichen Verpflichtungen

Eine Verarbeitung der unter dieser Vereinbarung verarbeiteten personenbezogenen Daten zu eigenen Zwecken von pironex erfolgt nicht.

Soweit pironex personenbezogene Daten außerhalb dieser Auftragsverarbeitung zu eigenen Zwecken verarbeitet und hierbei selbst über Zwecke und Mittel der Verarbeitung entscheidet, erfolgt diese Verarbeitung in eigener datenschutzrechtlicher Verantwortlichkeit von pironex und fällt nicht unter diese Vereinbarung.

2.3 Kategorien personenbezogener Daten

Je nach Nutzung des Systems können insbesondere folgende personenbezogene Daten verarbeitet werden:

Stammdaten:

•       Vor- und Nachname

•       Anschrift

•       Wohnungsnummer

•       Objektbezeichnung

•       E-Mail-Adresse

•       Telefonnummer (sofern vom Auftraggeber hinterlegt)

Mess- und Verbrauchsdaten:

•       Zählerstände

•       Verbrauchswerte

•       Messwerte der Datensammler

•       Zeitstempel der Messungen

Abrechnungsdaten:

•       Heizkostenabrechnungen

•       Unterjährige Verbrauchsinformationen (UVI)

•       Abrechnungszeiträume

•       Kostenanteile

Kommunikations- und Versanddaten, soweit diese im Auftrag des Auftraggebers über das digitalmessdienst-Portal verarbeitet werden:

•       Versandhistorien

•       Empfängerinformationen

•       Systembenachrichtigungen

•       Protokolle über den Dokumentenversand

•       sonstige Kommunikationsdaten, die im Rahmen der vom Auftraggeber veranlassten Portalnutzung verarbeitet werden

2.4 Kategorien betroffener Personen

Von der Verarbeitung können insbesondere betroffen sein:

•       Mieter

•       Bewohner

•       Wohnungseigentümer

•       Verwalter

•       sonstige vom Auftraggeber berechtigte Nutzer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern nicht eine gesetzliche Verpflichtung eine hiervon abweichende Verarbeitung erfordert.

Weisungen werden regelmäßig durch die Nutzung des digitalmessdienst-Portals erteilt. Hierzu zählen insbesondere das Anlegen, Ändern oder Löschen personenbezogener Daten, das Auslösen von Abrechnungen sowie der Versand von Dokumenten oder Verbrauchsinformationen. Weitergehende Weisungen bedürfen mindestens der Textform.

Hält der Auftragsverarbeiter eine Weisung des Auftraggebers für datenschutzrechtlich unzulässig, informiert er den Auftraggeber unverzüglich. Bis zur Klärung ist der Auftragsverarbeiter berechtigt, die Ausführung der betreffenden Weisung auszusetzen.

Pflichten des Auftraggebers
Der Auftraggeber bleibt für die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten verantwortlich. Er stellt insbesondere sicher, dass für die Verarbeitung der personenbezogenen Daten und deren Übermittlung an pironex eine zulässige datenschutzrechtliche Grundlage besteht, die erforderlichen Informationspflichten gegenüber den betroffenen Personen erfüllt werden und die an pironex erteilten Weisungen rechtmäßig sind.

Soweit pironex aufgrund des Rechts der Europäischen Union oder eines Mitgliedstaates zu einer Verarbeitung personenbezogener Daten verpflichtet ist, die von den Weisungen des Auftraggebers abweicht, informiert pironex den Auftraggeber vor Durchführung der Verarbeitung über die betreffende rechtliche Verpflichtung, sofern das einschlägige Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

Der Auftragsverarbeiter verpflichtet sich:

•       personenbezogene Daten ausschließlich entsprechend dieser Vereinbarung sowie den dokumentierten Weisungen des Auftraggebers zu verarbeiten

•       sicherzustellen, dass sämtliche mit der Verarbeitung personenbezogener Daten betrauten Personen gemäß Art. 28 Abs. 3 lit. b DSGVO zur Vertraulichkeit verpflichtet wurden

•       geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu treffen

•       den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO angemessen zu unterstützen

•       sämtliche Zugriffe auf personenbezogene Daten im Rahmen administrativer Tätigkeiten nachvollziehbar zu protokollieren

•       dem Auftraggeber die Einhaltung dieser Vereinbarung auf Verlangen nachzuweisen

dem Auftraggeber oder einem von diesem beauftragten, zur Vertraulichkeit verpflichteten Prüfer die zur Überprüfung der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung zu stellen und angemessene Audits einschließlich Inspektionen zu ermöglichen sowie hieran mitzuwirken.

Audits sind grundsätzlich mit angemessener Frist in Textform anzukündigen und während der üblichen Geschäftszeiten unter angemessener Rücksichtnahme auf den Geschäftsbetrieb von pironex durchzuführen. In begründeten dringenden Fällen, insbesondere bei einer Verletzung des Schutzes personenbezogener Daten oder auf Verlangen einer zuständigen Aufsichtsbehörde, kann eine kürzere Ankündigungsfrist erforderlich sein.

Geschäfts- und Betriebsgeheimnisse von pironex sowie personenbezogene Daten anderer Auftraggeber sind hierbei angemessen zu schützen.

•       den Auftraggeber unverzüglich über Verletzungen des Schutzes personenbezogener Daten zu informieren

Die Mitteilung erfolgt unverzüglich nach Bekanntwerden der Verletzung und enthält, soweit die entsprechenden Informationen verfügbar sind, insbesondere Angaben zur Art der Verletzung, zu den betroffenen Kategorien personenbezogener Daten und Personengruppen, zum ungefähren Umfang der betroffenen Daten und Personen, zu den wahrscheinlichen Folgen der Verletzung sowie zu den von pironex ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung bzw. Begrenzung der Verletzung.

pironex stellt dem Auftraggeber die zur Erfüllung seiner gesetzlichen Melde- und Benachrichtigungspflichten erforderlichen Informationen unverzüglich zur Verfügung. Soweit Informationen bei der ersten Mitteilung noch nicht vollständig vorliegen, können diese ohne unangemessene weitere Verzögerung nachgereicht werden.

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau sicherzustellen. Die Maßnahmen orientieren sich am Stand der Technik, den Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere möglicher Risiken.

Die technischen und organisatorischen Maßnahmen sind in Anlage 1 dieses Vertrages beschrieben. Der Auftragsverarbeiter überprüft die Wirksamkeit der Maßnahmen regelmäßig und entwickelt diese entsprechend der technischen und rechtlichen Anforderungen fort.

6.1 Allgemeines

Der Auftragsverarbeiter ist berechtigt, zur Erbringung seiner vertraglichen Leistungen weitere Auftragsverarbeiter gemäß Art. 28 Abs. 2 DSGVO einzusetzen. Der Auftragsverarbeiter stellt sicher, dass sämtliche Unterauftragnehmer durch schriftliche oder elektronische Vereinbarungen verpflichtet werden, ein Datenschutzniveau einzuhalten, das den Anforderungen dieses Vertrages sowie den Vorgaben der DSGVO entspricht. Der Auftraggeber erteilt hierzu seine allgemeine Genehmigung.

Werden Unterauftragnehmer eingesetzt, werden diesen im erforderlichen Umfang dieselben Datenschutzpflichten auferlegt, die auch für pironex aufgrund dieser Vereinbarung gelten. pironex bleibt gegenüber dem Auftraggeber für die Einhaltung der dem jeweiligen Unterauftragnehmer auferlegten datenschutzrechtlichen Pflichten verantwortlich.

6.2 Änderung von Unterauftragnehmern

Der Auftragsverarbeiter informiert den Auftraggeber mindestens 30 Kalendertage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragnehmers. Der Auftraggeber kann innerhalb dieser Frist aus datenschutzrechtlich begründeten Gründen widersprechen. Können sich die Parteien nicht einigen, steht dem Auftraggeber ein außerordentliches Kündigungsrecht hinsichtlich des zugrunde liegenden Vertrags zu.

6.3 Aktuell eingesetzte Unterauftragnehmer

Die von pironex im Rahmen dieser Auftragsverarbeitung eingesetzten und vom Auftraggeber allgemein genehmigten Unterauftragnehmer sind in Anlage 2 dieser Vereinbarung aufgeführt. Anlage 2 ist Bestandteil dieser Vereinbarung.

6.4 Verarbeitung in Drittländern

Eine Verarbeitung personenbezogener Daten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums erfolgt nur, wenn die gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Soweit für das jeweilige Drittland ein Angemessenheitsbeschluss der Europäischen Kommission besteht, kann die Übermittlung auf diesen gestützt werden.

Soweit kein geeigneter Angemessenheitsbeschluss besteht, stellt pironex durch geeignete Garantien, insbesondere durch den Abschluss der von der Europäischen Kommission genehmigten Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO und erforderlichenfalls durch ergänzende Maßnahmen, ein angemessenes Datenschutzniveau sicher.

Der Auftragsverarbeiter unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung sowie der ihm zur Verfügung stehenden Informationen bei der Erfüllung der gesetzlichen Pflichten nach Kapitel III DSGVO. Hierzu gehören insbesondere die Unterstützung bei:

•       Auskunftsersuchen

•       Berichtigungen

•       Löschungen

•       Einschränkungen der Verarbeitung

•       Datenübertragbarkeit

•       Widersprüchen betroffener Personen

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, wird diese Anfrage unverzüglich an den Auftraggeber weitergeleitet, sofern keine gesetzliche Verpflichtung zur unmittelbaren Bearbeitung besteht.

Mit Beendigung des zugrunde liegenden Nutzungsvertrages endet die aktive Nutzung des digitalmessdienst-Portals. Die Auftragsverarbeitung besteht für die Dauer der nachfolgend geregelten Rückgabe-, Export- und Löschprozesse fort.

Der Auftraggeber erhält nach Beendigung des Nutzungsvertrages für einen Zeitraum von 90 Kalendertagen einen ausschließlich lesenden Zugriff auf das digitalmessdienst-Portal. Während dieses Zeitraums können die im Auftrag verarbeiteten personenbezogenen Daten sowie die hieraus erzeugten Dokumente über die bereitgestellten Exportfunktionen heruntergeladen werden. Schreibzugriffe und neue Messwerterfassungen sind während dieses Zeitraums nicht mehr möglich.

Auf Wunsch des Auftraggebers stellt pironex die im Auftrag verarbeiteten personenbezogenen Daten zusätzlich in einem gängigen und maschinenlesbaren Format zur Verfügung.

Zum Abschluss der Auftragsverarbeitung wird pironex nach Wahl des Auftraggebers die im Auftrag verarbeiteten personenbezogenen Daten löschen oder dem Auftraggeber zur Verfügung stellen und anschließend löschen, soweit keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.

Das 90-Tage-Exportfenster dient der vereinfachten Rückgabe der Daten. Der Auftraggeber kann innerhalb dieses Zeitraums auch eine frühere Herausgabe und/oder Löschung verlangen.

Nach Ablauf der 90-Tage-Frist werden die im Auftrag verarbeiteten personenbezogenen Daten gelöscht, soweit der Auftraggeber keine andere zulässige Weisung erteilt hat und keine gesetzlichen Aufbewahrungspflichten oder sonstigen zwingenden gesetzlichen Gründe einer Löschung entgegenstehen.

Die Löschung umfasst auch vorhandene Kopien personenbezogener Daten. Personenbezogene Daten in Sicherungskopien werden im Rahmen der regulären Backup-Zyklen gelöscht bzw. überschrieben und bis dahin nicht zu anderen Zwecken weiterverarbeitet.

Verlangt der Auftraggeber ausdrücklich eine vorzeitige Löschung, führt pironex diese soweit rechtlich und technisch möglich durch. Nach Durchführung der ausdrücklich verlangten Löschung ist eine spätere Wiederherstellung der tatsächlich gelöschten Daten grundsätzlich nicht mehr möglich. Gesetzliche Ansprüche und gesetzliche Aufbewahrungspflichten bleiben unberührt.

pironex bestätigt die Durchführung einer Löschung auf Wunsch des Auftraggebers in Textform.

Anonymisierte Daten

Soweit dies durch den zugrunde liegenden Vertrag vereinbart oder durch eine entsprechende dokumentierte Weisung des Auftraggebers gedeckt ist, darf pironex personenbezogene Mess-, Geräte- und Verbrauchsdaten zum Zweck einer vollständigen Anonymisierung verarbeiten.

Nach vollständiger und unumkehrbarer Anonymisierung dürfen die anonymisierten Daten insbesondere für statistische Auswertungen, technische Analysen, Qualitätssicherung und Produktverbesserung verwendet werden.

Eine Anonymisierung gilt nur dann als vollständig, wenn ein Personenbezug mit Mitteln, deren Einsatz vernünftigerweise zu erwarten ist, nicht wiederhergestellt werden kann.

Vollständig anonymisierte Daten unterliegen nach Abschluss der Anonymisierung nicht mehr dieser Vereinbarung.

Die Haftung der Vertragsparteien richtet sich nach den gesetzlichen Bestimmungen der Datenschutz-Grundverordnung, insbesondere Art. 82 DSGVO. Ergänzend gelten die Haftungsregelungen des zwischen den Parteien geschlossenen Hauptvertrages einschließlich der Allgemeinen Geschäftsbedingungen der pironex technology GmbH, soweit diese den gesetzlichen Vorgaben nicht widersprechen.

Diese Vereinbarung kann sowohl im Rahmen des elektronischen Bestellprozesses des digitalmessdienst-Onlineshops bzw. Portals als auch im Zusammenhang mit einem individuellen Angebot von pironex abgeschlossen werden.

Bei einem Vertragsschluss über den Onlineshop bzw. das Portal bestätigt der Auftraggeber den Abschluss dieser Vereinbarung durch die hierfür vorgesehene elektronische Bestätigung. Datum, Uhrzeit und Bestellreferenz werden von pironex zu Nachweis- und Dokumentationszwecken protokolliert.

Bei einem Vertragsschluss auf Grundlage eines individuellen Angebots wird dem Auftraggeber diese Vereinbarung vor Vertragsschluss in Textform zur Verfügung gestellt. Die Vereinbarung kann insbesondere per E-Mail in Textform angenommen werden.

Der Auftraggeber erhält eine Ausfertigung der für ihn geltenden Fassung dieser Vereinbarung in Textform bzw. auf einem dauerhaften Datenträger.

Die jeweils aktuelle Fassung dieser Vereinbarung kann zusätzlich unter https://digitalmessdienst.de/avv zum Abruf bereitgestellt werden. Maßgeblich für das jeweilige Vertragsverhältnis ist die zwischen den Parteien wirksam vereinbarte Fassung.

Änderungen dieser Vereinbarung bedürfen mindestens der Textform, soweit gesetzlich keine strengere Form vorgeschrieben ist.

Änderungen der technischen und organisatorischen Maßnahmen sind zulässig, soweit sie aufgrund technischer, organisatorischer oder sicherheitsbezogener Weiterentwicklungen erforderlich sind und das vereinbarte Schutzniveau hierdurch nicht unterschritten wird. Wesentliche Änderungen werden dem Auftraggeber in Textform mitgeteilt.

Änderungen hinsichtlich der eingesetzten Unterauftragnehmer richten sich ausschließlich nach § 6 dieser Vereinbarung.

Sollte eine Bestimmung dieser Vereinbarung ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleiben die übrigen Bestimmungen hiervon unberührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung treten die gesetzlichen Vorschriften. Änderungen oder Ergänzungen dieser Vereinbarung bedürfen mindestens der Textform, soweit gesetzlich keine strengere Form vorgeschrieben ist. Soweit gesetzlich zulässig, gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen (TOMs)