AVV Auftragsverarbeitung.
Datenschutzrechtlicher Rahmen für personenbezogene Daten, die im Auftrag von Geschäftskunden verarbeitet werden.
1. Parteien und Einbeziehung
Dieser Vertrag zur Auftragsverarbeitung („AVV“) konkretisiert die datenschutzrechtlichen Pflichten zwischen dem jeweiligen Geschäftskunden als Verantwortlichem und
HJG Group
vertreten durch Hans-Jürgen Glasmacher
Glockengasse 5 · 47608 Geldern · Deutschland
E-Mail: [email protected]
als Auftragsverarbeiter, soweit HJG Nexus Energy personenbezogene Daten ausschließlich im Auftrag des Kunden verarbeitet.
2. Gegenstand, Dauer, Art und Zweck
Gegenstand und Dauer der Verarbeitung richten sich nach dem zugrunde liegenden Hauptvertrag. Die Verarbeitung kann – je nach beauftragtem Leistungsmodul – insbesondere die strukturierte Übernahme, Speicherung, Plausibilisierung, Übermittlung, Auswertung und Bereitstellung von Objekt-, Nutzer-, Geräte-, Verbrauchs-, Vertrags- und Abrechnungsdaten umfassen.
Zwecke können insbesondere Messdienstprozesse, Fernablesung, Verbrauchsdatenbereitstellung, Abrechnungsunterstützung, Portfolio-Monitoring, Migration, Support sowie die technische Bereitstellung vereinbarter Kundenfunktionen sein.
3. Kategorien personenbezogener Daten und betroffener Personen
Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht vorgesehen, sofern sie nicht ausdrücklich vereinbart und durch zusätzliche Schutzmaßnahmen abgesichert wird.
4. Weisungsgebundene Verarbeitung
HJG Nexus Energy verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht. Ist eine Weisung aus Sicht des Auftragsverarbeiters datenschutzwidrig, wird der Kunde hierauf hingewiesen und die betreffende Weisung bis zur Klärung ausgesetzt, soweit dies rechtlich erforderlich ist.
5. Vertraulichkeit und Zugriffsberechtigung
Zur Verarbeitung befugte Personen werden auf Vertraulichkeit verpflichtet und erhalten nur die für ihre Aufgabe erforderlichen Zugriffsrechte. Berechtigungen werden nach dem Need-to-know-Prinzip vergeben und bei Wegfall der Erforderlichkeit entzogen.
6. Technische und organisatorische Maßnahmen (TOM)
HJG Nexus Energy trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören – abhängig vom jeweiligen System – insbesondere:
- TLS-/Transportverschlüsselung für externe Datenübertragungen,
- rollenbasierte Zugriffskontrolle und Authentifizierungsmaßnahmen,
- Trennung und Segmentierung von Diensten, Netzen und Kundenkontexten,
- Protokollierung sicherheitsrelevanter Vorgänge,
- Schutz vor unberechtigtem Zugriff sowie regelmäßige Systemaktualisierung,
- Backup-, Wiederherstellungs- und Verfügbarkeitsprozesse,
- Verfahren zur Behandlung von Sicherheitsvorfällen und Schwachstellen,
- datenschutzgerechte Lösch- und Berechtigungskonzepte.
7. Unterauftragsverarbeiter
Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter, soweit dies für die vertraglich vereinbarte Leistung erforderlich ist. HJG Nexus Energy informiert über wesentliche Änderungen bei Unterauftragsverarbeitern in geeigneter Weise.
Der Kunde kann aus berechtigten datenschutzrechtlichen Gründen innerhalb einer angemessenen Frist widersprechen. Kann keine zumutbare Alternative gefunden werden, können die Parteien die hiervon betroffene Leistung beenden.
Unterauftragsverarbeiter werden vertraglich auf Datenschutzpflichten verpflichtet, die den Anforderungen dieses AVV entsprechen. Drittlandübermittlungen erfolgen nur nach Maßgabe der Art. 44 ff. DSGVO.
8. Unterstützung bei Betroffenenrechten
HJG Nexus Energy unterstützt den Kunden im Rahmen der verfügbaren Informationen und unter Berücksichtigung der Art der Verarbeitung bei der Bearbeitung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.
Geht ein Betroffenenersuchen unmittelbar bei HJG Nexus Energy ein und betrifft es Daten, die im Auftrag verarbeitet werden, wird es grundsätzlich an den Kunden weitergeleitet, sofern keine abweichende gesetzliche Verpflichtung besteht.
9. Datenschutzverletzungen und Unterstützungspflichten
Bekannt gewordene Verletzungen des Schutzes personenbezogener Daten, die den Auftragsbereich betreffen, werden dem Kunden unverzüglich mit den verfügbaren Informationen gemeldet. HJG Nexus Energy unterstützt den Kunden angemessen bei Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Sicherheitsbewertungen, Meldungen, Benachrichtigungen und – soweit erforderlich – Datenschutz-Folgenabschätzungen.
10. Nachweise und Kontrollen
HJG Nexus Energy stellt dem Kunden die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen. Kontrollen und Audits sind mit angemessener Vorankündigung, unter Wahrung von Betriebs- und Geschäftsgeheimnissen und ohne unverhältnismäßige Beeinträchtigung des laufenden Betriebs durchzuführen. Bei konkreten Sicherheitsvorfällen oder behördlicher Anforderung können zusätzliche Prüfungen erforderlich sein.
11. Rückgabe und Löschung nach Vertragsende
Nach Abschluss der Auftragsverarbeitung werden personenbezogene Daten nach Wahl des Kunden gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht oder ein sonstiger rechtlich zulässiger Grund zur weiteren Speicherung besteht. Technisch bedingte Sicherungskopien werden im Rahmen der vorgesehenen Backup-Zyklen überschrieben oder gelöscht.
12. Rangfolge und Haftung
Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen für Fragen der Auftragsverarbeitung die Regelungen dieses AVV vor. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit zwingendes Datenschutzrecht nichts Abweichendes bestimmt.