Standard-AVV und technische Maßnahmen

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem im Angebot bezeichneten Kunden („Verantwortlicher“ oder „Auftraggeber“) und

Abreco GmbH
Nordring 10a, 33330 Gütersloh, Deutschland
E-Mail: info@abreco.de
Datenschutzbeauftragter: datenschutz@abreco.de
– „Auftragsverarbeiter“ oder „Abreco“ –

1. Gegenstand, Dauer und Rang

(1) Diese Vereinbarung gilt, soweit Abreco personenbezogene Daten im Auftrag des Kunden verarbeitet. Eigene Verarbeitungen von Abreco, insbesondere für Vertrag, Abrechnung eigener Entgelte, IT-Sicherheit, Missbrauchsabwehr, gesetzliche Pflichten und Rechtsdurchsetzung, sind nicht Gegenstand dieser AVV.

(2) Gegenstand und Dauer richten sich nach dem Hauptvertrag und den gebuchten Modulen. Die AVV beginnt mit ihrer digitalen Annahme und endet mit Abschluss der auftragsgemäßen Verarbeitung, vorbehaltlich Rückgabe, Löschung, gesetzlicher Aufbewahrung und gesperrter Nachweisdaten.

(3) Der Hauptvertrag regelt Leistungen und Entgelt; diese AVV regelt die Auftragsverarbeitung. Individuelle Datenschutzweisungen gehen vor, soweit sie rechtmäßig, dokumentiert und vom Leistungsumfang umfasst sind.

2. Art und Zweck der Verarbeitung

Abreco verarbeitet Daten insbesondere durch Erheben, Erfassen, Ordnen, Speichern, Auslesen, Abgleichen, Verknüpfen, Berechnen, Übermitteln, Bereitstellen, Einschränken, Löschen und Anonymisieren. Zwecke können entsprechend dem Auftrag sein:

• Verwaltung von Liegenschaften, Einheiten, Eigentümern, Mietern und Nutzern;
• Geräteverwaltung, Gatewayabruf, Messwert- und Verbrauchserfassung;
• Erstellung von unterjährigen Verbrauchsinformationen, Heiz- und Betriebskostenabrechnungen;
• Dokumentenimport, Belegzuordnung und unterstützende KI-Auswertung;
• Portal-, Kommunikations-, Termin-, Support- und Bereitstellungsfunktionen;
• Datenexporte, Berichtigungen, Nachweise und technisch erforderliche Datensicherung.

3. Kategorien betroffener Personen und Daten

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht als regulärer Leistungsinhalt vorgesehen. Werden solche Daten versehentlich übermittelt, informiert der Kunde Abreco und erteilt erforderlichenfalls eine rechtmäßige Weisung zum Umgang.

4. Weisungen

(1) Abreco verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Kunden, einschließlich einer Übermittlung in ein Drittland, sofern nicht Unions- oder Mitgliedstaatenrecht eine Verarbeitung verlangt. In diesem Fall informiert Abreco den Kunden vorab, soweit das Gesetz dies erlaubt.

(2) Hauptvertrag, AVV, freigegebene Portalaktionen, Rollen, Importe, Exporte und Supportaufträge bilden dokumentierte Weisungen. Zusätzliche Weisungen werden in Textform erteilt. Abreco informiert unverzüglich, wenn eine Weisung nach eigener Auffassung gegen Datenschutzrecht verstößt, und darf ihre Ausführung bis zur Klärung aussetzen.

(3) Weisungen innerhalb des vereinbarten Leistungsumfangs sind mit dem Entgelt abgegolten. Erheblicher, nicht geschuldeter Zusatzaufwand kann nach vorheriger transparenter Vereinbarung berechnet werden.

5. Pflichten des Verantwortlichen

Der Kunde bestimmt Zwecke und Rechtsgrundlagen, informiert betroffene Personen, prüft die Zulässigkeit der Verarbeitung und Datenübermittlung, wahrt Betroffenenrechte und verwaltet seine Nutzer- und Rollenberechtigungen. Er übermittelt nur erforderliche, richtige Daten und löscht beziehungsweise berichtigt sie über die vorgesehenen Funktionen oder erteilt eine Weisung. Nutzerinformation und mietrechtliche Umlageentscheidungen bleiben in seiner Verantwortung.

6. Vertraulichkeit und Beschäftigte

Abreco stellt sicher, dass zur Verarbeitung befugte Personen auf Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe werden auf das für Aufgabe und Rolle erforderliche Maß beschränkt. Beschäftigte werden datenschutz- und sicherheitsbezogen unterwiesen.

7. Technische und organisatorische Maßnahmen

Abreco trifft risikoorientierte Maßnahmen nach Art. 32 DSGVO und überprüft deren Wirksamkeit regelmäßig. Dazu gehören insbesondere:

• Transportverschlüsselung, geschützte Administrationszugänge und angemessener Schutz gespeicherter Geheimnisse;
• rollenbasierte Berechtigungen, Mandantentrennung, Protokollierung sicherheitsrelevanter Zugriffe und geregelte Rechtevergabe;
• Schutz von Magic Links, zeitliche Begrenzung, Hashspeicherung von Zugangstoken und Missbrauchsbegrenzung;
• Trennung technischer Gerätekennungen von direkt identifizierenden Kunden- und Nutzerdaten, soweit für den Zweck möglich;
• Dateityp-, Größen-, Ressourcen- und Schadcodeprüfung sowie kontrollierte blockweise Dokumentenverarbeitung;
• Sicherung, tägliche Infrastruktur-Backups, dokumentierte Wiederherstellung und regelmäßige Wiederherstellungstests;
• Änderungs-, Schwachstellen-, Vorfall-, Lösch- und Berechtigungskonzepte;
• Verfügbarkeits- und Belastungsschutz, Protokollüberwachung und sichere Softwareentwicklung.

Abreco darf Maßnahmen dem technischen Fortschritt anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Sicherheitsdetails, deren Offenlegung den Schutz gefährden würde, werden nur in geeigneter vertraulicher Form bereitgestellt.

8. Unterstützung des Verantwortlichen

(1) Abreco unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei Betroffenenanfragen nach Kapitel III DSGVO. Geht eine Anfrage unmittelbar bei Abreco ein, wird sie dem Kunden zugeordnet und weitergeleitet, soweit Abreco nicht selbst verantwortlich ist.

(2) Abreco unterstützt entsprechend der verfügbaren Informationen bei Sicherheit, Meldungen nach Art. 33 und 34 DSGVO, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach Art. 32 bis 36 DSGVO.

(3) Abreco stellt die zum Nachweis der Pflichten nach Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht angemessene Überprüfungen nach Ziffer 12.

9. Verletzungen des Schutzes personenbezogener Daten

Abreco informiert den Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes von Auftragsdaten. Die Information enthält, soweit verfügbar, Art des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und Kontaktstelle. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht. Die Entscheidung über eine Meldung an Aufsicht oder betroffene Personen liegt beim Verantwortlichen, soweit Abreco nicht für eigene Verarbeitungen selbst meldepflichtig ist.

10. Unterauftragsverarbeiter

(1) Der Kunde erteilt Abreco eine allgemeine Genehmigung zum Einsatz der nachstehenden Unterauftragsverarbeiter für die jeweils tatsächlich aktivierten Funktionen. Abreco kündigt die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters rechtzeitig über den vereinbarten Kommunikationsweg an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb der mitgeteilten angemessenen Frist widersprechen. Die Parteien suchen eine zumutbare Lösung; ist keine möglich, bleiben gesetzliche und vertragliche Beendigungsrechte unberührt.

(2) Für die Lobaro-Plattform weist Abreco die Löschung operativer Roh-, Parser- und Sensordaten 36 Monate nach ihrer Erzeugung an. Nach erfolgreichem Import werden fällige Daten im nächsten monatlichen Prüflauf, spätestens 31 Tage nach Fristablauf, gelöscht. Nach Ende des Gatewaydienstes werden die verfügbaren Daten exportiert und Plattformdaten, Gerätezuordnung, Konfiguration und Schlüssel grundsätzlich innerhalb von 30 Tagen gelöscht. Gesetzlich erforderliche Sperren werden vorrangig im Abreco-System umgesetzt. Sicherungskopien werden nach dem vertraglich festgelegten Anbieterzyklus überschrieben.

(3) Nicht jede genannte Stelle ist für jeden Kunden aktiv. Fachlich eigenständig tätige Banken, Behörden, Steuerberater, Rechtsberater sowie Montage- oder Messdienstleister sind nur dann Unterauftragsverarbeiter, wenn sie die gesetzlichen Merkmale einer Auftragsverarbeitung erfüllen.

(4) Abreco verpflichtet Unterauftragsverarbeiter mindestens zu den in Art. 28 Abs. 3 DSGVO vorgeschriebenen Pflichten und bleibt gegenüber dem Kunden für deren datenschutzkonforme Leistung verantwortlich.

11. Drittlandverarbeitung

Eine Verarbeitung außerhalb des EWR erfolgt nur auf dokumentierte Weisung oder wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere aufgrund eines Angemessenheitsbeschlusses, von Standardvertragsklauseln und ergänzenden Maßnahmen. Abreco stellt auf Anfrage Informationen zu den eingesetzten Garantien bereit, soweit Rechte Dritter und Sicherheitsinteressen gewahrt bleiben.

12. Kontrollen und Audits

(1) Der Kunde darf die Einhaltung dieser AVV einmal jährlich sowie anlassbezogen bei einem begründeten Datenschutz- oder Sicherheitsvorfall prüfen. Vorrangig werden aktuelle Nachweise, Prüfberichte, Fragebögen und sichere Fernauskünfte genutzt.

(2) Vor-Ort-Prüfungen werden mit angemessener Frist angekündigt, finden während üblicher Geschäftszeiten statt und dürfen Sicherheit, Vertraulichkeit, Betrieb und Rechte anderer Kunden nicht beeinträchtigen. Prüfer müssen fachkundig, unabhängig und zur Vertraulichkeit verpflichtet sein.

(3) Gesetzlich zwingende Kontrollen und Kontrollen einer Aufsichtsbehörde bleiben unberührt. Unverhältnismäßiger Zusatzaufwand kann nach vorheriger Vereinbarung berechnet werden, sofern Abreco den Anlass nicht zu vertreten hat.

13. Berichtigung, Löschung, Rückgabe und Vertragsende

(1) Abreco berichtigt, löscht, anonymisiert, exportiert oder schränkt Auftragsdaten entsprechend den Portalaktionen und dokumentierten Weisungen des Kunden ein, soweit keine gesetzliche Pflicht oder zulässige Sperre entgegensteht.

(2) Nach Ende der Leistung erhält der Kunde grundsätzlich 30 Tage Gelegenheit zum vereinbarten Export. Danach löscht oder anonymisiert Abreco Auftragsdaten und vorhandene Kopien, soweit der Kunde nicht die Rückgabe verlangt und soweit keine gesetzliche Aufbewahrungspflicht, laufender Anspruch, Sicherheitsvorfall oder dokumentierte rechtliche Sperre entgegensteht.

(3) Daten in Sicherungen werden nach dem Sicherungszyklus überschrieben und bis dahin nicht produktiv genutzt, außer für eine erforderliche Wiederherstellung. Nach einer Wiederherstellung werden bereits fällige Löschungen erneut ausgeführt.

(4) Papier-SEPA-Mandate, Urkunden, Garantien und Streitunterlagen werden automatisch als besonders aufbewahrungsbedürftig markiert und erst nach Ende der jeweils maßgeblichen fachlichen oder gesetzlichen Frist freigegeben.

(5) Bei einem nicht umgewandelten Testzugang werden Daten nach Testende gesperrt, bis zu 90 Tage für eine mögliche Wiederherstellung vorgehalten und anschließend gelöscht oder dauerhaft anonymisiert, sofern kein Sperrgrund besteht. Bei Umwandlung in einen regulären Kunden bleiben erforderliche Daten und Nachweise erhalten.

14. Ansprechpartner und Schlussbestimmungen

Datenschutzanfragen an Abreco richten Sie an den Datenschutzbeauftragten der Abreco GmbH, datenschutz@abreco.de. Operative Weisungen werden über die im Vertrag vereinbarten Kontaktwege erteilt.

Änderungen dieser AVV für bestehende Auftragsverarbeitungen bedürfen einer dokumentierten Vereinbarung, soweit sie nicht nur Kontaktdaten, gleichwertige technische Maßnahmen oder nach Ziffer 10 zulässige Unterauftragsverarbeiter betreffen. Zwingendes Datenschutzrecht bleibt unberührt.