Auftragsverarbeitungsvertrag

§ 1 Parteien und Gegenstand

(1) Dieser Vertrag gilt zwischen dem Kunden, der Netzreif nutzt (nachfolgend „Verantwortlicher“), und CoreGnition UG (haftungsbeschränkt), Leopoldstraße 31, 80802 München, vertreten durch Maxim Mikhalchenko (nachfolgend „Auftragsverarbeiter“).

(2) Er konkretisiert die Pflichten aus der Nutzung von Netzreif, soweit dabei personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet werden. Er kommt mit dem Nutzungsvertrag zustande und endet mit ihm.

(3) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die Daten der Anlagenbetreiber an den Auftragsverarbeiter übermitteln darf und seinen Informationspflichten nachgekommen ist.

§ 2 Art, Zweck und Dauer der Verarbeitung

(1) Zweck: Vorbereitung, Einreichung und Begleitung von Anträgen rund um den Netzanschluss bei Verteilnetzbetreibern im Namen des Verantwortlichen, einschließlich der Entgegennahme und Beantwortung von Rückfragen des Netzbetreibers.

(2) Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an den Netzbetreiber, Einschränken und Löschen.

(3) Kategorien betroffener Personen:

• Anlagenbetreiber, also die Kunden des Verantwortlichen
• Beschäftigte des Verantwortlichen, die Netzreif nutzen
• Ansprechpartner beim Netzbetreiber, soweit sie in der Korrespondenz auftreten

(4) Arten personenbezogener Daten:

• Stamm- und Kontaktdaten: Name, Anschrift, Telefonnummer, E-Mail-Adresse
• Objektbezogene Daten: Anschrift des Anschlussobjekts, Flur und Flurstück, Zählernummer, technische Angaben zur Anlage
• Inhalte hochgeladener Unterlagen, etwa Lagepläne, Messkonzepte und Datenblätter, soweit sie personenbezogene Daten enthalten
• Inhalte der Korrespondenz mit dem Netzbetreiber, einschließlich Bildschirmabzügen der Einreichung als Nachweis
• Zugangsdaten des vom Verantwortlichen für Netzreif angelegten Portalbenutzers

(5) Dauer: für die Laufzeit des Nutzungsvertrags, anschließend nach Maßgabe von § 9.

(6) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union statt. Eine Verlagerung in ein Drittland erfolgt nur mit vorheriger Zustimmung des Verantwortlichen und unter den Voraussetzungen der Art. 44 bis 49 DSGVO.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der Anwendung durch den Verantwortlichen gilt als Weisung. Das Anlegen eines Vorhabens und das Auslösen der Einreichung sind die Weisung, die hinterlegten Angaben beim zuständigen Netzbetreiber einzureichen.

(3) Weisungen, die über die Anwendung hinausgehen, erteilt der Verantwortliche in Textform an info@netzreif.com.

(4) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen.

§ 4 Vertraulichkeit

(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

(2) Die eingesetzten Personen sind mit den einschlägigen Datenschutzvorschriften vertraut und werden in angemessenen Abständen unterwiesen.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in der Anlage beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragsdauer aufrecht.

(2) Die Maßnahmen dürfen fortentwickelt werden. Das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

§ 6 Weitere Auftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung, die nachstehend genannten weiteren Auftragsverarbeiter einzusetzen.

• Hetzner Online GmbHGunzenhausen, DeutschlandServerbetrieb, Datenbank und Dateiablage
• Brevo (Sendinblue SAS)Paris, FrankreichEmpfang und Versand der E-Mails zwischen Betrieb und Netzbetreiber über das Netzreif-Postfach
• Mistral AI SASParis, FrankreichZuordnung unbekannter Formularfelder. Übermittelt werden ausschließlich Feldbeschriftungen, Abschnittsüberschriften und Auswahlmöglichkeiten aus dem Portal des Netzbetreibers, niemals Daten eines Vorhabens

(2) Beabsichtigt der Auftragsverarbeiter, einen weiteren Auftragsverarbeiter hinzuzuziehen oder zu ersetzen, teilt er das mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen aus einem wichtigen, datenschutzbezogenen Grund widersprechen. Widerspricht er, kann der Auftragsverarbeiter die betroffene Leistung einstellen oder den Vertrag mit Wirkung zum geplanten Wechsel kündigen.

(3) Der Auftragsverarbeiter verpflichtet jeden weiteren Auftragsverarbeiter auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, und haftet für dessen Verhalten wie für eigenes.

Leistungen, die nicht die Verarbeitung personenbezogener Daten zum Gegenstand haben, etwa Telekommunikation oder Wartung ohne Zugriff auf Daten, sind keine Auftragsverarbeitung im Sinne dieses Paragrafen.

§ 7 Unterstützung bei Betroffenenrechten

(1) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen. Soweit die Anwendung dafür Funktionen bereithält, nutzt der Verantwortliche diese selbst.

§ 8 Meldepflichten und weitere Unterstützung

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden ab Kenntnis, in Textform. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien, den ungefähren Umfang, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Meldungen an die Aufsichtsbehörde, bei der Benachrichtigung betroffener Personen und bei einer Datenschutz-Folgenabschätzung, jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen.

§ 9 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Nutzungsvertrags stellt der Auftragsverarbeiter dem Verantwortlichen dessen Daten für 30 Tage in einem gängigen, maschinenlesbaren Format zum Abruf bereit.

(2) Danach löscht er die personenbezogenen Daten einschließlich vorhandener Kopien, spätestens 90 Tage nach Vertragsende. Verlangt der Verantwortliche die Löschung früher, erfolgt sie unverzüglich.

(3) Unberührt bleiben Daten, die der Auftragsverarbeiter aufgrund gesetzlicher Aufbewahrungspflichten weiter speichern muss. Diese werden für die Dauer der Aufbewahrung in der Verarbeitung eingeschränkt und anschließend gelöscht.

(4) Die Löschung wird dem Verantwortlichen auf Anfrage in Textform bestätigt.

§ 10 Nachweise und Überprüfung

(1) Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, insbesondere durch die Beschreibung der Maßnahmen in der Anlage und durch Auskunft in Textform.

(2) Der Verantwortliche kann sich nach rechtzeitiger Ankündigung, in der Regel mit einer Frist von vier Wochen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs von der Einhaltung überzeugen. Er kann sich dabei durch einen zur Verschwiegenheit verpflichteten Dritten vertreten lassen, der nicht Wettbewerber des Auftragsverarbeiters ist.

(3) Überprüfungen, die über eine jährliche hinausgehen und nicht durch einen konkreten Anlass veranlasst sind, kann der Auftragsverarbeiter gegen Erstattung des Aufwands durchführen.

§ 11 Schlussbestimmungen

(1) Widersprechen sich dieser Vertrag und die Allgemeinen Geschäftsbedingungen, gehen die Regelungen dieses Vertrags vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht.

(2) Es gilt deutsches Recht. Gerichtsstand ist München, soweit zulässig.

(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage: Technische und organisatorische Maßnahmen

Maßnahmen nach Art. 32 DSGVO, bezogen auf den Betrieb von Netzreif.

Vertraulichkeit

• Zutritt: Die Server stehen in Rechenzentren der Hetzner Online GmbH in Deutschland. Zutritt, Bewachung und Protokollierung richten sich nach deren Sicherheitskonzept; die Rechenzentren sind nach ISO/IEC 27001 zertifiziert.
• Zugang: Der Zugang zur Anwendung ist nur mit persönlichem Konto und Passwort möglich. Passwörter werden nicht im Klartext gespeichert, sondern als Hashwert mit Zufallswert, aus dem sich das Passwort nicht zurückrechnen lässt. Die Sitzung läuft automatisch ab.
• Zugriff: Jeder Betrieb sieht ausschließlich seine eigenen Vorgänge, Unterlagen und Nachrichten. Die Trennung wird bei jedem Datenbankzugriff erzwungen, nicht erst in der Oberfläche.
• Portalzugangsdaten: Zugangsdaten zum Portal des Netzbetreibers werden verschlüsselt gespeichert. Der Schlüssel liegt außerhalb der Datenbank in der Serverumgebung, sodass eine Datenbanksicherung allein die Zugangsdaten nicht offenlegt. Die Anwendung bietet keine Funktion, ein hinterlegtes Passwort anzuzeigen oder auszuleiten. Entschlüsselt wird ausschließlich im Arbeitsspeicher des Dienstes, der die Anmeldung am Portal ausführt.
• Trennung: Übungs- und Probebetrieb laufen gegen ein nachgebautes Portal und nicht gegen Systeme echter Netzbetreiber. Produktiv- und Entwicklungsumgebung verwenden getrennte Verschlüsselungsschlüssel.
• Übertragung: Sämtliche Verbindungen zur Anwendung und zu den Portalen der Netzbetreiber sind transportverschlüsselt (TLS). Die Anwendung erzwingt HTTPS.
• Sprachmodell: An das zur Feldzuordnung eingesetzte Sprachmodell werden ausschließlich Feldbeschriftungen, Abschnittsüberschriften und Auswahlmöglichkeiten des Portalformulars übermittelt, niemals Daten eines Vorhabens. Eine Zuordnung, bei der das System nicht sicher ist, wird dem Verantwortlichen zur Freigabe vorgelegt und nicht ungeprüft eingereicht.

Integrität

• Eingabekontrolle: Jede Änderung an einem Vorgang wird mit Zeitpunkt, Art und Quelle protokolliert. Daraus lässt sich nachvollziehen, wer wann was veranlasst hat.
• Nachweis der Einreichung: Von jeder Einreichung wird ein Bildschirmabzug gesichert, der belegt, was an den Netzbetreiber übermittelt wurde.
• Weitergabekontrolle: Eine Übermittlung erfolgt nur an den für das Vorhaben zuständigen Netzbetreiber und nur nach Auslösung durch den Verantwortlichen.

Verfügbarkeit und Belastbarkeit

• Die Dienste laufen in getrennten Containern. Fällt die Portalautomatisierung aus, bleibt die Anwendung erreichbar; laufende Aufträge stehen in der Datenbank und werden nach dem Neustart fortgesetzt, nicht verworfen.
• Eine Einreichung läuft nie zweimal gleichzeitig. Die Warteschlange lässt je Vorgang genau einen Auftrag zu, damit ein Neustart keinen doppelten Antrag beim Netzbetreiber auslöst.
• Der Serverbetrieb einschließlich Stromversorgung, Netzanbindung und Speichersystem liegt bei der Hetzner Online GmbH.

Verfahren zur Überprüfung und Bewertung

• Die Maßnahmen werden mindestens jährlich sowie bei wesentlichen Änderungen am System überprüft.
• Die Einhaltung der Löschfristen erledigt ein täglich laufender Auftrag, nicht ein Mensch, der daran denken muss. Jede Löschung wird protokolliert; das Protokoll hält Zeitpunkt und Umfang fest und enthält selbst keine personenbezogenen Daten.
• Abhängigkeiten der Software werden laufend auf bekannt gewordene Schwachstellen geprüft.
• Die Liste der weiteren Auftragsverarbeiter wird bei jedem Wechsel aktualisiert; sie steht in § 6 dieses Vertrags und in der Datenschutzerklärung.