Standard-AVV und technische Maßnahmen

Hinweis zum Vertragsstatus: Dieses Dokument ist das öffentliche Standardmuster der Abreco GmbH. Es wird nur dann Vertragsbestandteil, wenn es in einem Angebot oder Vertrag ausdrücklich einbezogen oder von beiden Parteien gesondert vereinbart wird. Der bloße Abruf dieser Seite schließt keinen Auftragsverarbeitungsvertrag. Die im Vertrag bezeichnete und dauerhaft bereitgestellte Version bleibt maßgeblich.

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem im Hauptvertrag bezeichneten Kunden als Verantwortlichem („Auftraggeber“) und

Abreco GmbH
Nordring 10a, 33330 Gütersloh, Deutschland
E-Mail: info@abreco.de
als Auftragsverarbeiter („Auftragnehmer“).

1. Gegenstand, Dauer und Rang

(1) Der Auftragnehmer verarbeitet personenbezogene Daten für den Auftraggeber, soweit dies zur Erbringung der im Angebot, Auftrag oder Hauptvertrag beschriebenen Mess-, Erfassungs-, Abrechnungs-, Portal-, Kommunikations-, Dokumenten- oder Verwaltungsleistungen erforderlich ist.

(2) Art, Umfang, Zweck und Dauer der Verarbeitung richten sich nach dem Hauptvertrag, dieser Vereinbarung und den dokumentierten Weisungen des Auftraggebers. Die Verarbeitung beginnt frühestens mit Wirksamwerden dieser Vereinbarung und endet vorbehaltlich gesetzlicher Aufbewahrungspflichten mit der vollständigen Rückgabe oder Löschung der Auftragsdaten.

(3) Bei Widersprüchen über die Verarbeitung personenbezogener Daten geht diese Vereinbarung dem Hauptvertrag vor. Gesetzliche Pflichten beider Parteien bleiben unberührt.

2. Art und Zweck der Verarbeitung

Die Verarbeitung kann – abhängig vom Hauptvertrag – das Erheben, Erfassen, Ordnen, Speichern, Abgleichen, Auslesen, Berechnen, Übermitteln, Bereitstellen, Einschränken, Löschen und Vernichten von Daten umfassen. Zwecke sind insbesondere Liegenschafts- und Nutzerverwaltung, Geräteverwaltung, Messwerterfassung, Verbrauchsinformation, Heiz- und Betriebskostenabrechnung, Dokumentenerstellung, Zahlungszuordnung, Support, sichere Kommunikation sowie die technische Bereitstellung des Kunden- und Mieterportals.

3. Datenarten und betroffene Personen

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Standardleistung. Erkennt eine Partei, dass solche Daten für einen konkreten Auftrag erforderlich werden, legt sie vor der Verarbeitung zusätzliche Schutzmaßnahmen und eine zulässige Rechtsgrundlage fest.

4. Weisungen und Pflichten des Auftraggebers

(1) Der Auftragnehmer verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich der im Hauptvertrag festgelegten Weisungen, sofern keine gesetzliche Verarbeitungspflicht besteht. In diesem Fall informiert der Auftragnehmer den Auftraggeber vor der Verarbeitung, soweit das Gesetz dies zulässt.

(2) Weisungen können in Textform über die vereinbarten Kontaktwege erteilt werden. Mündliche Weisungen sind vom Auftraggeber unverzüglich in Textform zu bestätigen. Änderungen, die Leistungsumfang oder Aufwand erweitern, können einer gesonderten Vereinbarung bedürfen.

(3) Der Auftraggeber ist für die Rechtmäßigkeit der Datenerhebung, die Rechtsgrundlagen, Informationspflichten, Datenrichtigkeit, Weisungen und die Wahrung der Rechte betroffener Personen verantwortlich. Hält der Auftragnehmer eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

5. Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich insbesondere,

• Auftragsdaten nur im vereinbarten Umfang und nach dokumentierter Weisung zu verarbeiten;
• nur befugte und auf Vertraulichkeit verpflichtete Personen einzusetzen;
• die in Anlage 1 beschriebenen risikoorientierten technischen und organisatorischen Maßnahmen aufrechtzuerhalten und angemessen weiterzuentwickeln;
• den Auftraggeber unter Berücksichtigung von Art und Verfügbarkeit der Informationen bei Betroffenenrechten, Sicherheit, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden angemessen zu unterstützen;
• Verzeichnisse und sonstige gesetzlich erforderliche Nachweise zu führen;
• dem Auftraggeber die zum Nachweis der Pflichten erforderlichen Informationen bereitzustellen und zulässige Kontrollen zu ermöglichen.

6. Anfragen betroffener Personen

Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage grundsätzlich ohne schuldhaftes Zögern an den Auftraggeber weiter und beantwortet sie nicht eigenständig, soweit keine gesetzliche Pflicht besteht. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen, soweit dies möglich und für die vereinbarte Verarbeitung erforderlich ist.

7. Sicherheit und Datenschutzverletzungen

(1) Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Die Parteien sind sich einig, dass technische und organisatorische Maßnahmen dem technischen Fortschritt und der Risikolage angepasst werden dürfen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

(2) Verletzungen des Schutzes personenbezogener Auftragsdaten meldet der Auftragnehmer dem Auftraggeber unverzüglich, nachdem sie ihm bekannt geworden sind. Die Meldung enthält die verfügbaren Angaben zu Art und Umfang, betroffenen Daten und Personen, wahrscheinlichen Folgen, ergriffenen oder vorgeschlagenen Maßnahmen sowie eine erreichbare Kontaktstelle. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht.

(3) Der Auftraggeber bleibt für Meldungen an Aufsichtsbehörden und Benachrichtigungen betroffener Personen verantwortlich, soweit das Gesetz nichts anderes bestimmt.

8. Unterauftragnehmer

(1) Der Auftraggeber erteilt die allgemeine Genehmigung, die in Anlage 2 bezeichneten Unterauftragnehmer für die dort beschriebenen Leistungen einzusetzen. Ein Anbieter wird nur eingesetzt, wenn seine Leistung für den konkreten Auftrag aktiviert oder erforderlich ist.

(2) Der Auftragnehmer informiert den Auftraggeber vor der Beauftragung eines neuen oder dem Austausch eines bestehenden Unterauftragnehmers in Textform. Der Auftraggeber kann innerhalb von 14 Tagen aus einem nachvollziehbaren datenschutzrechtlichen Grund widersprechen. Die Parteien bemühen sich um eine zumutbare Alternative. Ist eine solche nicht verfügbar, kann jede Partei den von der Änderung betroffenen Leistungsteil zum Änderungszeitpunkt beenden.

(3) Der Auftragnehmer verpflichtet Unterauftragnehmer vertraglich zu einem im Wesentlichen gleichwertigen Datenschutzniveau. Bleibt ein Unterauftragnehmer hinter seinen Pflichten zurück, haftet der Auftragnehmer gegenüber dem Auftraggeber nach den gesetzlichen Regeln für die Erfüllung der Pflichten des Unterauftragnehmers.

9. Verarbeitung außerhalb des EWR

Eine Verarbeitung in einem Staat außerhalb des Europäischen Wirtschaftsraums erfolgt nur auf dokumentierte Weisung oder soweit sie für einen genehmigten Unterauftragnehmer erforderlich und nach Art. 44 ff. DSGVO zulässig ist. Der Auftragnehmer stellt insbesondere einen Angemessenheitsbeschluss oder geeignete Garantien wie EU-Standardvertragsklauseln sicher und ergreift, soweit erforderlich, ergänzende Maßnahmen. Gesetzlich erzwungene Übermittlungen werden dem Auftraggeber vorab mitgeteilt, soweit dies zulässig ist.

10. Rückgabe, Löschung und Aufbewahrung

Nach Abschluss der Leistung gibt der Auftragnehmer die Auftragsdaten nach Wahl des Auftraggebers in einem vereinbarten, technisch üblichen Format zurück oder löscht sie, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Gesetzlich weiter aufzubewahrende Daten werden gesperrt und nur noch für den gesetzlich vorgegebenen Zweck verarbeitet. Sicherungskopien werden im Rahmen der regulären, geschützten Überschreib- und Löschzyklen entfernt.

11. Nachweise und Kontrollen

(1) Der Auftragnehmer stellt auf Anfrage geeignete Nachweise über die Einhaltung dieser Vereinbarung bereit, beispielsweise Dokumentationen, Prüfberichte, Zertifikate oder Selbstauskünfte.

(2) Reichen diese Nachweise im Einzelfall nicht aus, kann der Auftraggeber nach angemessener Vorankündigung während der üblichen Geschäftszeiten selbst oder durch einen fachkundigen, zur Verschwiegenheit verpflichteten Prüfer eine verhältnismäßige Kontrolle durchführen. Rechte anderer Kunden, Geschäftsgeheimnisse und die Sicherheit der Systeme sind zu schützen. Anlassbezogene Kontrollen nach einem relevanten Sicherheitsvorfall bleiben möglich. Zusätzlicher Aufwand kann nach vorheriger Abstimmung berechnet werden, soweit die Kontrolle keinen vom Auftragnehmer zu vertretenden Verstoß feststellt.

12. Kontakt und Schlussbestimmungen

Operativer Datenschutzkontakt des Auftragnehmers ist Paul Reiswich, erreichbar unter datenschutz@abreco.de.

Änderungen dieser Vereinbarung für einen bestehenden Vertrag bedürfen der Vereinbarung in Textform. Eine neue Veröffentlichung auf dieser Seite ersetzt nicht stillschweigend die in einen bestehenden Vertrag einbezogene Version. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; zwingendes Datenschutzrecht geht vor.

Anlage 1 – Technische und organisatorische Maßnahmen

1. Organisation und Vertraulichkeit

• festgelegte Verantwortlichkeiten und Verpflichtung zugriffsberechtigter Personen auf Vertraulichkeit;
• rollen- und aufgabenbezogene Berechtigungen nach dem Erforderlichkeitsprinzip;
• regelmäßige Überprüfung und Entzug nicht mehr benötigter Zugriffe;
• Trennung administrativer und fachlicher Funktionen, soweit risikogerecht.

2. Zugang und Zugriff

• individuelle Konten, sichere Passwortregeln und – für unterstützte privilegierte Zugriffe – zusätzliche Authentifizierungsverfahren;
• serverseitige Rollen- und Mandantenprüfungen für Kunden-, Mieter-, Team- und Administrationszugriffe;
• zeitlich oder sachlich begrenzte Zugriffstoken und Schutz von Sitzungen;
• Protokollierung sicherheitsrelevanter Anmeldungen, Rollenänderungen und administrativer Vorgänge.

3. Übertragung und Speicherung

• verschlüsselte Übertragung über aktuelle TLS-Verbindungen;
• geschützte Ablage von Zugangsdaten und Schlüsseln außerhalb des Quellcodes;
• begrenzte, signierte oder authentifizierte Download- und Freigabepfade für sensible Dokumente;
• Trennung von Produktiv-, Test- und Entwicklungszugriffen nach dem jeweiligen Risiko.

4. Integrität und Nachvollziehbarkeit

• Validierung von Eingaben und serverseitige Autorisierung;
• Audit- und Änderungsprotokolle für wesentliche Vorgänge;
• Schutz von abrechnungs- und rechnungsrelevanten Daten gegen unbemerkte Veränderung;
• kontrollierte Softwareänderungen, Tests und Überprüfung sicherheitsrelevanter Aktualisierungen.

5. Verfügbarkeit und Wiederherstellung

• geschützte Datensicherungen und dokumentierte Wiederherstellungsverfahren;
• Überwachung wesentlicher Dienste und geregelte Behandlung von Störungen;
• Kapazitäts-, Patch- und Schwachstellenmanagement nach Risiko;
• regelmäßige Überprüfung der Wirksamkeit zentraler Maßnahmen.

6. Datenminimierung, Trennung und Löschung

• Erhebung und Ausgabe nur der für die jeweilige Funktion erforderlichen Daten;
• logische Mandantentrennung und rollenbezogene Datenansichten;
• Filterung oder Reduktion personenbezogener Inhalte in technischen Fehlerberichten;
• Aufbewahrungs-, Kontoschließungs- und Löschverfahren unter Berücksichtigung gesetzlicher Pflichten.

7. Sicherheitsvorfälle

• interne Melde- und Eskalationswege;
• Eindämmung, Beweissicherung, Bewertung und Dokumentation;
• zeitnahe Information betroffener Auftraggeber nach Maßgabe dieser Vereinbarung;
• Nachbereitung und angemessene Verbesserungsmaßnahmen.

Anlage 2 – Standardliste vorgesehener Unterauftragnehmer

Die Liste beschreibt die für Standard- und optionale Funktionen vorgesehenen Anbieter. Sie ist keine Aussage, dass jeder optionale Anbieter für jeden Kunden aktiviert ist. Vor einer Verarbeitung von Auftragsdaten prüft Abreco GmbH, ob die konkrete Einbindung erforderlich ist und die datenschutzrechtlichen Vertrags- und Übermittlungsvoraussetzungen vorliegen. Fachlich eigenständig tätige technische Dienstleister und Montagepartner sind nicht allein deshalb Unterauftragnehmer dieser Vereinbarung, weil sie notwendige Liegenschafts-, Termin- oder Gerätedaten als Beiwerk ihrer technischen Hauptleistung erhalten. Verarbeitet ein solcher Partner im konkreten Fall Auftragsdaten weisungsgebunden als wesentlichen Teil seiner Aufgabe, gelten die Regelungen in Abschnitt 8.

Dienste, die ausschließlich für eigene Website-Statistik oder Werbung der Abreco GmbH eingesetzt werden und keine Auftragsdaten des Kunden erhalten, sind nicht allein deshalb Unterauftragnehmer dieses AVV. Aktuelle Datenschutzhinweise zu sämtlichen Empfängerkategorien finden sich unter https://abreco.de/datenschutz.