VEREINBARUNG ZUR AUFTRAGSVERARBEITUNG
UND TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN
Für B2B-Partner und Auftraggeber
der
innowatt24 GmbH & Co. KG
Oderstraße 56, 14513 Teltow, vertreten durch die persönlich haftende Gesellschafterin innowatt24 Verwaltungs GmbH, diese vertreten durch die Geschäftsführerin Romana Wallantin
- nachfolgend "innowatt24" –
TEIL A - VEREINBARUNG ZUR AUFTRAGSVERARBEITUNG
Anwendungsfall: Dieser Teil gilt, soweit innowatt24 personenbezogene Daten für den Vertragspartner im Auftrag verarbeitet. Handelt der Vertragspartner selbst als Auftragsverarbeiter, gelten die Regelungen entsprechend für die Beauftragung von innowatt24 als weiterem Auftragsverarbeiter.
§ 1 Gegenstand und Dauer der Verarbeitung
(1) Gegenstand der Verarbeitung ist die digitale Fernüberwachung, technische Analyse, Remote-Unterstützung, Herstellerkommunikation und Dokumentation für die vom Vertragspartner gemeldeten Endkundenanlagen.
(2) Die Verarbeitung beginnt mit der Annahme des jeweiligen Einzelauftrags und endet mit dessen Beendigung, vorbehaltlich gesetzlicher Aufbewahrungspflichten, dokumentierter Anschlussweisungen und technisch erforderlicher Löschfristen.
§ 2 Art und Zweck der Verarbeitung
(1) Die Verarbeitung umfasst insbesondere das Erheben, Auslesen, Ordnen, Speichern, Abgleichen, Analysieren, Übermitteln, Bereitstellen, Einschränken und Löschen von Vertrags-, Kontakt-, Anlagen-, Geräte-, Portal-, Kommunikations-, Ticket-, Diagnose- und Protokolldaten, soweit dies zur Erbringung der beauftragten Fernleistungen erforderlich ist.
(2) Die Zwecke sind die Identifikation und Verwaltung der Endkundenanlagen, die Fernüberwachung, die Erkennung und Einordnung technischer Meldungen, die Remote-Fehleranalyse, die Durchführung freigegebener Fernzugriffe, die Kommunikation mit Herstellern und Servicepartnern, die Dokumentation sowie die Erfüllung gesetzlicher Nachweis- und Sicherheitsanforderungen.
§ 3 Kategorien betroffener Personen und Daten
(1) Betroffene Personen können Endkunden, Ansprechpartner der Endkunden, Beschäftigte und Beauftragte des Vertragspartners sowie Ansprechpartner von Herstellern, Plattformbetreibern und Servicepartnern sein.
(2) Verarbeitet werden können Stamm- und Kontaktdaten, Vertrags- und Kundennummern, Anlagenstandorte, Geräte- und Seriennummern, Portal- und Benutzerkennungen, technische Anlagen-, Status-, Ertrags-, Leistungs-, Fehler-, Diagnose- und Logdaten, Kommunikationsinhalte, Ticketdaten und Dokumentationsdaten.
(3) Besondere Kategorien personenbezogener Daten im Sinne des Artikels 9 DSGVO sind nicht Gegenstand der planmäßigen Verarbeitung. Der Vertragspartner darf solche Daten nur nach vorheriger ausdrücklicher Abstimmung und auf einer geeigneten Rechtsgrundlage übermitteln.
§ 4 Verantwortlichkeit und Weisungsrecht
(1) Der Vertragspartner ist für die Zulässigkeit der Verarbeitung, die Transparenz gegenüber betroffenen Personen, die Wahrung ihrer Rechte und die Rechtmäßigkeit seiner Weisungen verantwortlich.
(2) innowatt24 verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Vertragspartners, soweit keine gesetzliche Verpflichtung zur Verarbeitung besteht. Der Rahmenvertrag, die Einzelaufträge und die freigegebenen Standardprozesse gelten als dokumentierte Weisungen.
(3) Weisungen außerhalb des vereinbarten Leistungsumfangs können nach Aufwand vergütet werden. innowatt24 informiert den Vertragspartner vorab, sofern hierdurch zusätzliche Kosten entstehen.
(4) Hält innowatt24 eine Weisung für rechtswidrig, informiert sie den Vertragspartner unverzüglich und setzt die Ausführung bis zur Bestätigung oder Änderung aus, soweit nicht zwingendes Recht etwas anderes verlangt.
§ 5 Pflichten von innowatt24
(1) innowatt24 gewährleistet, dass zur Verarbeitung befugte Personen die Daten nur auf Weisung verarbeiten und auf Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
(2) innowatt24 trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und Zwecke der Verarbeitung sowie der Risiken geeignete technische und organisatorische Maßnahmen nach Artikel 32 DSGVO.
(3) innowatt24 unterstützt den Vertragspartner unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen in angemessenem Umfang bei der Erfüllung von Betroffenenrechten, Sicherheits- und Meldepflichten, Datenschutz-Folgenabschätzungen und Konsultationen von Aufsichtsbehörden.
(4) innowatt24 führt ein Verzeichnis der im Auftrag durchgeführten Verarbeitungstätigkeiten, soweit dies gesetzlich erforderlich ist, und stellt dem Vertragspartner auf begründete Anfrage die zur Erfüllung seiner Nachweispflichten erforderlichen Informationen zur Verfügung.
§ 6 Sicherheit und Datenschutzverletzungen
(1) innowatt24 informiert den Vertragspartner unverzüglich, nachdem eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die im Auftrag verarbeiteten Daten betrifft. Die Meldung enthält nach Verfügbarkeit Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie einen Ansprechpartner.
(2) innowatt24 trifft unverzüglich angemessene Maßnahmen zur Begrenzung, Untersuchung und Behebung des Vorfalls und unterstützt den Vertragspartner bei erforderlichen Meldungen und Benachrichtigungen.
(3) Der Vertragspartner informiert innowatt24 unverzüglich über Sicherheitsvorfälle, kompromittierte Zugangsdaten oder unberechtigte Zugriffe in seiner oder der Sphäre seiner Endkunden, soweit diese die Leistungserbringung oder die im Auftrag verarbeiteten Daten betreffen.
§ 7 Weitere Auftragsverarbeiter
(1) Der Vertragspartner erteilt innowatt24 eine allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen, soweit diese für Hosting, Kommunikation, Support, IT-Sicherheit, Ticketing, Fernzugriff oder sonstige vertragsbezogene Dienste erforderlich sind.
(2) innowatt24 informiert den Vertragspartner vor einer beabsichtigten wesentlichen Änderung der eingesetzten weiteren Auftragsverarbeiter. Der Vertragspartner kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Kalendertagen widersprechen. Können die Parteien keine zumutbare Lösung finden, darf jede Partei den betroffenen Einzelauftrag außerordentlich kündigen.
(3) innowatt24 verpflichtet weitere Auftragsverarbeiter mindestens zu den Datenschutzpflichten, die für die jeweilige Verarbeitung nach dieser Vereinbarung gelten. innowatt24 bleibt für die Erfüllung der Pflichten des weiteren Auftragsverarbeiters gegenüber dem Vertragspartner verantwortlich.
§ 8 Drittlandübermittlungen
(1) Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Artikel 44 bis 49 DSGVO erfüllt sind und der Vertragspartner entsprechend informiert wurde.
(2) Soweit Hersteller- oder Cloudportale aufgrund der Auswahl des Vertragspartners oder Endkunden Daten in Drittländern verarbeiten, bleibt der Vertragspartner für die Auswahl und datenschutzrechtliche Zulässigkeit dieser Systeme verantwortlich, sofern innowatt24 diese Systeme nicht selbst als eigenen Unterauftragnehmer bestimmt hat.
§ 9 Kontrollrechte und Nachweise
(1) Der Vertragspartner darf die Einhaltung dieser Vereinbarung in angemessenen Abständen und bei konkretem Anlass prüfen. Vorrangig sind aktuelle Zertifikate, Prüfberichte, Selbstauskünfte oder sonstige geeignete Nachweise zu nutzen.
(2) Vor-Ort-Prüfungen sind mit angemessener Frist anzukündigen, während der üblichen Geschäftszeiten durchzuführen und so zu gestalten, dass Betriebsabläufe, Rechte anderer Kunden, Sicherheitsinteressen und Geschäftsgeheimnisse von innowatt24 nicht unangemessen beeinträchtigt werden.
(3) Verursacht eine Prüfung aufgrund ihres Umfangs oder ihrer Häufigkeit einen nicht nur unerheblichen Zusatzaufwand, darf innowatt24 diesen nach vorheriger Mitteilung zu den vereinbarten Stundensätzen abrechnen, es sei denn, die Prüfung bestätigt einen wesentlichen Verstoß von innowatt24.
§ 10 Rückgabe und Löschung
(1) Nach Ende des Einzelauftrags löscht oder anonymisiert innowatt24 die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Vertragspartners oder gibt sie in einem üblichen Format zurück, soweit keine gesetzliche Aufbewahrungspflicht oder ein berechtigter Nachweiszweck entgegensteht.
(2) Sicherungskopien dürfen bis zum Ablauf regulärer Überschreibzyklen weiterbestehen, sofern sie besonders geschützt, nicht produktiv genutzt und anschließend gelöscht oder anonymisiert werden.
(3) Der Vertragspartner ist für die rechtzeitige Sicherung und Übernahme der von ihm benötigten Daten vor Beendigung des Einzelauftrags verantwortlich.
§ 11 Rang und Haftung
(1) Bei Widersprüchen zwischen dieser Vereinbarung und dem übrigen Vertrag geht diese Vereinbarung hinsichtlich der Verarbeitung personenbezogener Daten vor.
(2) Die Haftung richtet sich nach Artikel 82 DSGVO und den Haftungsregelungen des Rahmenvertrages, soweit eine vertragliche Begrenzung gesetzlich zulässig ist.
TEIL B - TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN
Technische Prüfung: Die nachfolgenden Maßnahmen beschreiben den vertraglich geschuldeten Mindeststandard. Konkrete Systeme, Anbieter und interne Verantwortlichkeiten sind vor operativem Einsatz durch die technisch zuständigen Stellen von innowatt24 zu bestätigen und fortlaufend aktuell zu halten.
§ 1 Organisation und Vertraulichkeit
(1) innowatt24 unterhält angemessene Datenschutz- und Informationssicherheitsprozesse, benennt Zuständigkeiten und verpflichtet alle zugriffsberechtigten Personen auf Vertraulichkeit.
(2) Zugriffe auf Endkunden- und Anlagendaten werden auf Personen beschränkt, die diese zur Aufgabenerfüllung benötigen. Berechtigungen werden rollenbezogen vergeben, dokumentiert und bei Aufgabenwechsel oder Ausscheiden zeitnah angepasst oder entzogen.
§ 2 Zugang, Zugriff und Authentisierung
(1) Endgeräte, Konten und Anwendungen sind durch angemessene Authentisierungsverfahren, sichere Passwörter und, soweit technisch verfügbar und dem Risiko angemessen, Mehrfaktor-Authentisierung geschützt.
(2) Administrative und besonders privilegierte Zugriffe werden auf das erforderliche Maß beschränkt. Gemeinsame Benutzerkonten werden vermieden oder, soweit technisch unvermeidbar, durch ergänzende organisatorische Kontrollen abgesichert.
(3) Zugangsdaten werden nicht unverschlüsselt in allgemein zugänglichen Ablagen gespeichert. Ihre Übermittlung erfolgt über vereinbarte sichere Kanäle.
§ 3 Übertragung, Speicherung und Systemschutz
(1) Personenbezogene Daten werden bei der Übertragung über öffentliche Netze durch dem Stand der Technik entsprechende Transportverschlüsselung geschützt, soweit das eingesetzte Hersteller- oder Drittsystem dies unterstützt.
(2) Server, Arbeitsplatzsysteme und sonstige Endgeräte werden angemessen gegen Schadsoftware, unberechtigte Zugriffe und bekannte Schwachstellen geschützt. Sicherheitsrelevante Aktualisierungen werden risikoorientiert eingespielt.
(3) Soweit innowatt24 Daten dauerhaft speichert, werden angemessene Sicherungs-, Wiederherstellungs- und Verfügbarkeitsmaßnahmen eingesetzt. Umfang und Frequenz richten sich nach Kritikalität und Wiederherstellungsbedarf.
§ 4 Protokollierung und Kontrolle
(1) Wesentliche administrative und technische Verarbeitungsvorgänge werden in einem dem Risiko und dem eingesetzten System angemessenen Umfang protokolliert, soweit dies technisch möglich und datenschutzrechtlich zulässig ist.
(2) Protokolle werden gegen unberechtigte Veränderung und Zugriff geschützt und nur so lange aufbewahrt, wie dies für Sicherheit, Nachweis, Fehleranalyse oder gesetzliche Pflichten erforderlich ist.
§ 5 Verfügbarkeit und Notfallmanagement
(1) innowatt24 unterhält angemessene Verfahren zur Erkennung, Bewertung und Behandlung von Informationssicherheits- und Datenschutzvorfällen.
(2) Für wesentliche eigene Systeme bestehen angemessene Wiederanlauf- und Vertretungsregelungen. Eine unterbrechungsfreie Verfügbarkeit von Hersteller- und Drittplattformen wird hierdurch nicht garantiert.
§ 6 Auftragskontrolle und Löschung
(1) Verarbeitungen werden auf den dokumentierten Auftrag und die erforderlichen Zwecke beschränkt. Änderungen des Verarbeitungsumfangs werden nachvollziehbar dokumentiert.
(2) Daten werden nach Ablauf des Verarbeitungszwecks und gesetzlicher oder vertraglicher Aufbewahrungsfristen gelöscht, anonymisiert oder zurückgegeben. Datenträger und Endgeräte werden vor Wiederverwendung oder Aussonderung angemessen bereinigt.
§ 7 Überprüfung und Weiterentwicklung
(1) innowatt24 überprüft die Angemessenheit der Maßnahmen regelmäßig und bei wesentlichen Änderungen der Systeme, Risiken oder gesetzlichen Anforderungen.
(2) Sicherheitsmaßnahmen dürfen durch funktional gleichwertige oder bessere Maßnahmen ersetzt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.