Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Stand: November 2026

1. Gegenstand und Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten der Anlagenbetreiber, die der Auftraggeber im Partnerportal eingibt, im Auftrag des Auftraggebers. Die Verarbeitung dient der Anmeldung von Wärmepumpen beim Netzbetreiber. Der Vertrag gilt, solange der Auftragnehmer solche Daten für den Auftraggeber verarbeitet.

2. Art, Zweck, Daten und Betroffene

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Übermitteln an den Netzbetreiber, Erstellen von Dokumenten, Löschen.

Zweck: Durchführung der vom Auftraggeber beauftragten Netzanmeldung.

Datenarten: Name, Anschrift und Kontaktdaten (Telefon, E-Mail) des Anlagenbetreibers; Anlagenadresse; Angaben zur Wärmepumpe; Zählernummern und Zählerstände.

Betroffene: Anlagenbetreiber (Kunden des Auftraggebers) und ggf. deren Ansprechpartner.

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Eingabe und das Absenden einer Anmeldung im Portal sowie dieser Vertrag sind die Weisungen. Weitere Weisungen erteilt der Auftraggeber in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

4. Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit. Er unterstützt den Auftraggeber bei der Beantwortung von Anfragen Betroffener und bei den Pflichten nach Art. 32 bis 36 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten meldet er dem Auftraggeber unverzüglich. Er führt ein Verzeichnis nach Art. 30 Abs. 2 DSGVO.

5. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft geeignete Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere:

→ Zugang nur mit persönlichem Login; Passwörter werden nur als Hash gespeichert
→ Trennung der Mandanten: Partnerfirmen sehen nur ihre eigenen Daten (Zugriffsregeln in der Datenbank)
→ Zugriff auf alle Daten nur für Verwaltungsberechtigte des Auftragnehmers
→ verschlüsselte Übertragung (TLS) zwischen Browser, Portal und Dienstleistern
→ Zugangsschlüssel zu Datenbank und Auftragssystem liegen nur serverseitig und nicht im Browser
→ Datenbank in einem Rechenzentrum in der EU (Frankfurt am Main)
→ Protokollierung der Verarbeitungsschritte und Fehler je Anmeldung

Der Auftragnehmer entwickelt die Maßnahmen weiter. Wesentliche Verschlechterungen des Schutzniveaus sind unzulässig.

6. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

→ Supabase: Datenbank und Anmeldung (Serverstandort Frankfurt am Main, EU)
→ Netlify, Inc.: Hosting und Programmfunktionen (USA)
→ Conmeet: Auftrags- und Rechnungsverwaltung des Auftragnehmers

Der Auftragnehmer schließt mit ihnen Verträge, die den Anforderungen des Art. 28 DSGVO entsprechen. Bei Verarbeitung in Drittländern sorgt er für geeignete Garantien nach Art. 44 ff. DSGVO. Beabsichtigte Änderungen teilt er in Textform mit. Der Auftraggeber kann innerhalb von vier Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen; sonst gilt die Änderung als genehmigt.

7. Rechte der Betroffenen

Wendet sich ein Betroffener an den Auftragnehmer, leitet dieser die Anfrage an den Auftraggeber weiter und beantwortet sie nicht selbst.

8. Löschung und Rückgabe

Nach Abschluss der Anmeldung und Ende des Nutzungsverhältnisses löscht der Auftragnehmer die Daten der Anlagenbetreiber oder gibt sie zurück, wenn der Auftraggeber dies verlangt. Ausgenommen sind Daten, die der Auftragnehmer aufgrund gesetzlicher Pflichten aufbewahren muss, zum Beispiel Aufträge und Rechnungen. Diese werden gesperrt und nach Ablauf der Fristen gelöscht.

9. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber auf Anforderung die Informationen zur Verfügung, die zum Nachweis der Pflichten nach Art. 28 DSGVO erforderlich sind. Der Auftraggeber kann Kontrollen nach rechtzeitiger Anmeldung und während der üblichen Geschäftszeiten durchführen oder durchführen lassen.

10. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten die AGB (Teil B). Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam.