Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO für die Nutzung von SVEMS.

Fassung vom 2. September 2026

§ 1 Gegenstand, Dauer und Rangfolge

1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der Software SVEMS zur Simulation und Wirtschaftlichkeitsrechnung von Photovoltaik-, Speicher- und Lastmanagementanlagen.
2. Die Verarbeitung erfolgt in einem Mitgliedstaat der Europäischen Union. Eine Verlagerung in ein Drittland erfolgt nur unter den Voraussetzungen des § 12.
3. Die Laufzeit dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags. Der Verantwortliche kann diesen Vertrag jederzeit kündigen, wenn ein Verstoß des Auftragnehmers gegen datenschutzrechtliche Vorschriften vorliegt und dieser nicht innerhalb einer angemessenen Frist abgestellt wird.
4. Anlagen sind Bestandteil dieses Vertrags. Es gelten: Anlage 1 — Unterauftragnehmer und Anlage 2 — Technische und organisatorische Maßnahmen.

§ 2 Art, Umfang und Zweck der Verarbeitung

Zweck: Bereitstellung und Betrieb der Software SVEMS, einschließlich Simulation, Auswertung, Berichtserstellung und Support.

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln, Löschen und Vernichten.

Kategorien betroffener Personen

• Beschäftigte und sonstige Nutzerinnen und Nutzer des Verantwortlichen mit Zugang zur Anwendung
• Kundinnen und Kunden sowie Interessenten des Verantwortlichen, deren Projekte in der Anwendung bearbeitet werden
• Ansprechpartner der vorgenannten Personen

Kategorien personenbezogener Daten

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass solche Daten nicht in die Anwendung eingebracht werden.

§ 3 Weisungsrecht

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Als Weisung gelten dieser Vertrag, der Nutzungsvertrag sowie die Nutzung der Funktionen der Anwendung durch die Nutzerinnen und Nutzer des Verantwortlichen im Rahmen ihres bestimmungsgemäßen Gebrauchs.
3. Weisungen in Textform an datenschutz@green-energy-tools.de. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
4. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, teilt er dies dem Verantwortlichen unverzüglich mit. Er ist berechtigt, die Ausführung auszusetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

§ 4 Pflichten des Auftragnehmers

1. Der Auftragnehmer verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.
2. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2. Er darf diese fortentwickeln, sofern das Schutzniveau nicht unterschritten wird; wesentliche Änderungen dokumentiert er.
3. Der Auftragnehmer unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.
4. Der Auftragnehmer stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung.
5. Der Auftragnehmer hat keinen Datenschutzbeauftragten benannt. Eine Benennungspflicht nach Art. 37 DSGVO oder § 38 BDSG besteht nicht, da beim Auftragnehmer weniger als zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, keine Kerntätigkeit in umfangreicher regelmäßiger und systematischer Überwachung besteht und keine umfangreiche Verarbeitung besonderer Datenkategorien stattfindet. Ansprechpartner in Datenschutzangelegenheiten ist die in der Parteienübersicht genannte Adresse.

§ 5 Technische und organisatorische Maßnahmen

Die vom Auftragnehmer getroffenen Maßnahmen ergeben sich aus Anlage 2. Sie sind bei Vertragsschluss vom Verantwortlichen als angemessen zu prüfen; mit Abschluss dieses Vertrags bestätigt der Verantwortliche, die Maßnahmen zur Kenntnis genommen und als dem Risiko angemessen bewertet zu haben.

§ 6 Unterauftragsverhältnisse

1. Der Verantwortliche erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragnehmer sind in Anlage 1 abschließend benannt.
2. Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragnehmer hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Verantwortlichen mindestens vier Wochen vorab in Textform.
3. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen ab Zugang der Information aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Wird der Widerspruch erhoben und kann keine einvernehmliche Lösung gefunden werden, steht dem Verantwortlichen ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung zu.
4. Der Auftragnehmer verpflichtet jeden Unterauftragnehmer vertraglich auf ein Schutzniveau, das dem dieses Vertrags entspricht, und bleibt dem Verantwortlichen gegenüber für dessen Verhalten verantwortlich.
5. Nicht als Unterauftragsverhältnis im Sinne dieser Vorschrift gelten Nebenleistungen wie Telekommunikationsdienste oder Wartungsleistungen ohne Bezug zu personenbezogenen Daten des Verantwortlichen.

§ 7 Rechte betroffener Personen

1. Der Auftragnehmer unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten.
2. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, es sei denn, der Verantwortliche weist ihn hierzu an.
3. Der Auftragnehmer berichtigt, löscht oder schränkt die Verarbeitung ein, soweit der Verantwortliche dies anweist. Soweit die Anwendung entsprechende Funktionen bereitstellt, führt der Verantwortliche diese Vorgänge selbst durch.

§ 8 Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragnehmer meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform an die in der Parteienübersicht genannte Adresse.
2. Die Meldung enthält, soweit bekannt: eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Sind nicht alle Angaben sofort verfügbar, erfolgt eine erste Meldung fristgerecht und eine Ergänzung ohne unangemessene Verzögerung.
3. Der Auftragnehmer unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO und dokumentiert jeden Vorfall nachvollziehbar.
4. Meldungen an die Aufsichtsbehörde oder an betroffene Personen nimmt allein der Verantwortliche vor, sofern nichts anderes vereinbart ist.

§ 9 Nachweis- und Kontrollrechte

1. Der Auftragnehmer weist die Einhaltung der vereinbarten Pflichten auf Anfrage in geeigneter Weise nach, insbesondere durch Vorlage dieser Anlagen, aktueller Selbstauskünfte oder vorhandener Zertifikate und Prüfberichte seiner Unterauftragnehmer.
2. Reichen diese Nachweise im Einzelfall nicht aus, ermöglicht der Auftragnehmer dem Verantwortlichen oder einem von ihm beauftragten, zur Verschwiegenheit verpflichteten und nicht mit dem Auftragnehmer im Wettbewerb stehenden Prüfer Überprüfungen. Diese erfolgen nach Ankündigung mit angemessener Frist, zu üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebsablaufs.
3. Überprüfungen finden höchstens einmal jährlich statt; darüber hinaus nur bei konkretem Anlass, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten. Anlasslose Überprüfungen, die über den jährlichen Turnus hinausgehen, kann der Auftragnehmer gegen angemessenen Aufwandsersatz durchführen.

§ 10 Löschung und Rückgabe

1. Nach Beendigung des Nutzungsvertrags löscht der Auftragnehmer alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
2. Der Verantwortliche teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende mit. Erfolgt keine Mitteilung, löscht der Auftragnehmer die Daten nach Ablauf dieser Frist.
3. Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format über die Exportfunktionen der Anwendung.
4. Sicherungskopien werden im Rahmen des regulären Rotationszyklus überschrieben; eine gesonderte Löschung aus Sicherungskopien erfolgt nicht, solange der Zugriff auf diese Kopien den Maßnahmen nach Anlage 2 unterliegt und sie ausschließlich zur Wiederherstellung verwendet werden.
5. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, darf der Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.

§ 11 Vertraulichkeit

Die Parteien behandeln alle im Zusammenhang mit diesem Vertrag erlangten Kenntnisse vertraulich und verwenden sie ausschließlich zur Durchführung des Vertrags. Diese Pflicht besteht auch nach Vertragsende fort.

§ 12 Übermittlung in Drittländer

1. Die Verarbeitung findet grundsätzlich innerhalb der Europäischen Union statt. Anwendung, Datenbank, Dateiablage und Rechenknoten werden in Deutschland betrieben.
2. Soweit einzelne Unterauftragnehmer Konzerngesellschaften in Drittländern einbinden, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder von Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO nebst erforderlicher ergänzender Maßnahmen. Die betroffenen Unterauftragnehmer sind in Anlage 1 gekennzeichnet.
3. Der Auftragnehmer stellt dem Verantwortlichen die einschlägigen Garantien auf Anfrage zur Verfügung.

§ 13 Haftung

Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Nutzungsvertrags, soweit sie zwingenden gesetzlichen Vorgaben nicht entgegenstehen.

§ 14 Schlussbestimmungen

1. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.
2. Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.
3. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.
4. Ausschließlicher Gerichtsstand ist Berlin, sofern der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Anlagen

• Anlage 1 — Unterauftragnehmer und Empfänger
• Anlage 2 — Technische und organisatorische Maßnahmen